CVE-2026-86342

MISP'nin etkilenen sürümleri, serbest metin besleme önizleme işlevinde uygun olmayan yetkilendirme kontrolleri içermektedir. Önizleme işlemi, istek yapan kullanıcının ACL kurallarını uygulamadan olay öznitelikleri üzerinden korelasyon aramaları gerçekleştirerek, normalde bu olaylara erişimi olmayan kullanıcıların kısıtlanmış olay korelasyonlarına ve ilgili olay bilgilerine erişmesine izin vermekteydi. Söz konusu savunmasız sorgular; MISP'in olay, organizasyon, paylaşım grubu, öznitelik ve nesne düzeyindeki erişim kontrolleri yerine yalnızca öznitelik değerleri ve silinme durumu ile sınırlandırılmıştı. Aynı önizleme işlevi ayrıca, besleme listesini çağıran kullanıcıya görünür olan beslemelerle düzgün bir şekilde kısıtlamadan çapraz besleme korelasyon bilgileri döndürmekteydi. Bu durum, lookup_visible olarak işaretlenmemiş beslemelerin meta verilerinin açığa çıkmasına neden oldu; etkilenen bir yanıt, özellik tarafından gerekli olmamasına rağmen yapılandırılmış besleme URL'sini de içeriyordu. Düzeltmeler; çağrının ACL kurallarını öznitelik korelasyon aramalarına uygular, korelasyon sonuçlarından besleme URL'lerini kaldırır, çapraz besleme sonuçlarını besleme görünürlüğüne göre kısıtlar ve yetkilendirme kurallarının tutarlı bir şekilde uygulanması için ana bilgisayar-organizasyon kimliği karşılaştırmasını düzeltir. Etkilenen sürüm: ≤2.5.45