CVE-2026-86441

MISP'nin etkilenen sürümleri, organizasyon bilgilerini görüntüleyen panel araçlarında tutarsız yetkilendirme kontrolleri içermektedir. Organizasyonla ilgili birkaç araç Security.hide_organisation_index_from_users ayarına uymamıştır. Sonuç olarak, perm_sharing_group iznine sahip olmayan kimliği doğrulanmış kullanıcılar, normal organizasyon dizini kendilerinden kasıtlı olarak gizlenmiş olsa bile organizasyonları listeleyebilmiştir. Etkilenen araçlar şu yolları içeriyordu: * Organizasyon adlarını ve tanımlayıcılarını döndüren; * Kısıtlanmamış find('all') sorgularının tam satırları getirmesi nedeniyle JSON dışa aktarma yoluyla ek organizasyon veritabanı alanlarını açığa çıkarabilen; * limit=0 veya negatif değerleri, sonuç sınırını etkili bir şekilde kaldırabilecek ve tüm organizasyon tablosunu döndürebilecek şekilde kabul eden. İlgili bir organizasyon-katılımcı liderlik tablosu da aynı görünürlük ayarını görmezden gelmiştir. Bu aracın işleyicisi, tüm olay tablosundaki Event.orgc_id değerlerini saymış ve bu ID'leri organizasyon adlarıyla eşleştirerek, çağıran kişinin bu olayların herhangi birini görüp göremeyeceğine bakılmaksızın etkinlikleri olan her organizasyonu ifşa etmiştir. Düzeltme, organizasyon-dizini görünürlüğü olmayan kullanıcılar için bu aracı tamamen kaldırmaktadır. Etkilenen sürüm: ≤2.5.45