CVE-2026-90895

MISP'nin etkilenen interaktif CLI kabuğu sürümleri, erişim kontrolünü normal web uygulamasından bağımsız olarak uygulamakta ve bu durum çeşitli yetkilendirme tutarsızlıklarına yol açmaktadır. Yama, CLI erişiminin birçok güvenlik açısından hassas alanda web uygulamasından farklılık gösterebileceğini göstermektedir: - besleme listeleri, ana kuruluş dışındaki kullanıcılar için aynı lookup_visible kısıtlamalarını uygulamuyordu; - besleme detay erişimi, FeedsController::view() ile aynı ana kuruluş/site yöneticisi yetkilendirmesini uygulamuyordu; - HTTP kimlik doğrulama kimlik bilgileri içerebilen Feed.headers, gizlenmek veya maskelenmek yerine ifşa edilebiliyordu; - sunucu senkronizasyon authkey değerleri, CLI detay çıktısında açıkça gizlenmiyordu; - paylaşım grubu detay erişimi, SharingGroup::checkIfAuthorised() fonksiyonunu tutarlı bir şekilde kullanmıyordu; - use komutu, kullanıcının o kaydı görüntülemek için yetkili olduğunu önceden kanıtlamadan bir kayıt için bağlam oluşturabiliyordu. Commit ayrıca, veritabanı destekli değerlerde bulunan terminal kontrol dizilerinin etkisiz hale getirilmesi dahil olmak üzere sayfalama ve terminal işleme süreçlerini sıkılaştırmaktadır. Bunlar önemli sıkılaştırma değişiklikleridir ancak temel zafiyet, CLI yetkilendirme/veri ifşası uyumsuzluğudur. Etkilenen sürüm: ≤2.5.45