CVE-2026-95805

MISP ACLComponent erişim kontrol yapılandırmasındaki bir yazım hatası, previewEventAttributes eylemi için olan ACL kuralının doğru olan 'theming_enabled' yerine 'theming_enabled*' (sonda yıldız işareti ile) izin dizesine referans vermesine neden olmuştur. MISP ACL sisteminde dizi değerleri, hangi rolün veya iznin belirli bir denetleyici eylemine erişim sağladığını tanımlar. Bitişik giriş olan previewEventObjects, ['theming_enabled'] ifadesini doğru şekilde kullanarak amaçlanan kısıtlamayı doğrulamaktadır. Hatalı biçimlendirilmiş 'theming_enabled*' anahtarı herhangi bir geçerli izin tanımlayıcısıyla eşleşmediğinden, previewEventAttributes için yapılan erişim kontrolü denetiminin hatalı çalışmasına yol açmaktadır. ACL değerlendirme mantığına bağlı olarak bu durum, ya yetkisiz kullanıcıların previewEventAttributes uç noktasına erişim sağlamasına (yetkilendirme atlatma) ya da meşru kullanıcıların erişiminin engellenmesine (kullanılabilirlik etkisi) neden olabilir. previewEventAttributes uç noktası MISP içindeki olay öznitelik verilerini açığa çıkardığından, bir yetkilendirme atlatma durumu, hassas gösterge ve öznitelik verilerinin erişimi olmaması gereken kullanıcılara ifşa olmasına yol açabilir.