CVE-2026-54362

Una condizione di visibilità errata nel costruttore di modelli di evento MISP ha consentito agli utenti autenticati non amministratori di sito di visualizzare galassie che non avrebbero dovuto essere visibili alla loro organizzazione. La condizione di controllo accessi personalizzata, pensata per limitare le galassie a quelle possedute dall’organizzazione dell’utente o distribuite oltre essa, utilizzava un’espressione di confronto PHP anziché una condizione di query. Di conseguenza, le galassie abilitate, comprese le galassie personalizzate riservate all’organizzazione appartenenti ad altre organizzazioni, potevano essere esposte nell’elenco delle galassie del costruttore di modelli. Ciò avrebbe potuto divulgare metadati riguardanti definizioni di galassie private a utenti non autorizzati.