CVE-2026-91846

MISP'nin etkilenen sürümleri, işlemi gerçekleştiren kullanıcının referans verilen nesneye erişim izni olup olmadığı tutarlı bir şekilde kontrol edilmeden, yalın bir UUID üzerinden koleksiyon öğesi oluşturulmasına izin vermektedir. Commit kaydı, koleksiyon öğelerinin kendilerinin yalnızca UUID'leri sakladığını, koleksiyon görünümünün ise daha sonra bu UUID'leri temel nesnelerine çözümlediğini açıklamaktadır. Bu düzeltmeden önce, genel add() yolu, çağrıyı yapan kişinin normalde okuyamadığı bir Event veya Galaxy Cluster için bir UUID'yi kalıcı hale getirebilmekteydi. Yama, bunun koleksiyonları başka bir kuruluşun özel verilerine referans verme yöntemi haline getirdiğini ve beta koleksiyon görünümünde yalnızca kuruluşa özel etkinliklerin ifşa olmasına neden olduğunu açıkça belirtmektedir. Düzeltme, yetkilendirmeyi __assertCanUseElements() fonksiyonunda merkezileştirir. Event UUID'leri mevcut kullanıcının ACL'si altında Event::fetchSimpleEvent() aracılığıyla doğrulanırken, Galaxy Cluster UUID'leri GalaxyCluster::fetchGalaxyClusters() aracılığıyla kontrol edilir. Kontrol hem CRUD add() yoluna hem de addElementToCollection() fonksiyonuna uygulanmıştır. Etkilenen sürüm: ≤2.5.45