CVE-2026-86283

概要

MISPのUiBetaテーマのコレクションビュー（app/View/Themed/UiBeta/Collections/view.ctp）は、呼び出し元のアクセス制御リスト（ACL）を適用せずに、UUIDによるメンバーイベントの二次クエリを実行していました。CollectionsController::view() アクションは、ユーザーごとのイベントACLを適用する Event::fetchSimpleEvents($user, ...) を通じてコレクション要素のUUIDを正しく解決していました。しかし、ビューテンプレートは同じUUIDを Event.uuid IN (...) 条件のみを使用して独立に再クエリし、createEventConditions() 認可フィルターを省略していました。コレクション要素のUUIDは参照先イベントに対するサーバー側の認可なしに保存されるため（CollectionElementsController::add() はコレクション所有者が投稿したUUIDをそのまま受け入れます）、コレクションへの閲覧アクセス権を持つ認証済みユーザーが、閲覧を許可されていないイベントの完全な詳細を取得できる可能性がありました。露出したデータには、イベント識別子、info、日付、タイムスタンプ、作成者組織、すべてのイベントタグ、およびギャラクシークラスター（後者はイベントスコープではなくクラスタースコープのACLチェックを介して付加されていました）が含まれていました。これはプレゼンテーション層における認可バイパスを構成し、MISPインスタンス内のイベント境界を越えた水平方向の権限昇格を可能にします。

• sentric-corePoC

  自律型AIエージェントが独自の暗号資産アイデンティティを持ち、CVEを探索し、エクスプロイトラボを構築し、脆弱性を検証する（CVE-2026-86283の初の公開PoC）。自己資金調達のために24時間365日暗号資産を取引。Sentric Research。