CVE-2026-86283

सारांश

MISP के UiBeta थीम संग्रह दृश्य (app/View/Themed/UiBeta/Collections/view.ctp) ने कॉलर की एक्सेस कंट्रोल लिस्ट (ACL) लागू किए बिना UUID द्वारा सदस्य इवेंट्स की एक द्वितीयक क्वेरी की। CollectionsController::view() एक्शन ने संग्रह तत्व UUIDs को Event::fetchSimpleEvents($user, ...) के माध्यम से सही ढंग से हल किया, जो प्रति-उपयोगकर्ता इवेंट ACL लागू करता है। हालाँकि, दृश्य टेम्पलेट ने स्वतंत्र रूप से उन्हीं UUIDs को केवल Event.uuid IN (...) शर्त का उपयोग करके पुनः क्वेरी किया, createEventConditions() प्राधिकरण फ़िल्टर को छोड़ दिया। चूँकि संग्रह तत्व UUIDs संदर्भित इवेंट के विरुद्ध सर्वर-साइड प्राधिकरण के बिना संग्रहीत किए जाते हैं (CollectionElementsController::add() संग्रह स्वामी जो भी UUID पोस्ट करता है उसे स्वीकार करता है), एक संग्रह तक दृश्य पहुँच वाला प्रमाणित उपयोगकर्ता उन इवेंट्स का पूरा विवरण प्राप्त कर सकता था जिन्हें पढ़ने की अनुमति उसे नहीं थी। उजागर डेटा में इवेंट पहचानकर्ता, info, दिनांक, टाइमस्टैम्प, निर्माता संगठन, सभी इवेंट टैग, और galaxy क्लस्टर (बाद वाला इवेंट-स्कोप्ड के बजाय क्लस्टर-स्कोप्ड ACL जाँच के माध्यम से संलग्न) शामिल थे। यह प्रस्तुति परत पर एक प्राधिकरण बायपास का गठन करता है, जो MISP इंस्टेंस के भीतर इवेंट सीमाओं के पार क्षैतिज विशेषाधिकार वृद्धि की अनुमति देता है।

• sentric-corePoC

  स्वायत्त AI एजेंट जिसकी अपनी क्रिप्टो पहचान है — CVE की खोज करता है, एक्सप्लॉइट लैब बनाता है, कमज़ोरियों को मान्य करता है (CVE-2026-86283 का पहला सार्वजनिक PoC), स्वयं को वित्तपोषित करने के लिए 24/7 क्रिप्टो ट्रेडिंग करता है। Sentric Research।