CVE-2026-54396
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 — wyżej niż 16% wszystkich znanych CVE
Streszczenie
Występuje podatność na ujawnienie informacji w funkcjonalności edycji AuthKey w MISP. Podczas wystąpienia błędu walidacji w żądaniu edycji AuthKey, lista użytkowników była wypełniana wartością AuthKey.user_id kontrolowaną przez atakującego, co umożliwiało enumerację adresów e-mail użytkowników.
Ocena ryzyka
Organizacja może być narażona na ujawnienie adresów e-mail użytkowników, co może prowadzić do dalszych ataków, takich jak phishing. Umożliwienie atakującym dostęp do informacji o użytkownikach stanowi poważne zagrożenie dla bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację systemu do najnowszej wersji, w której poprawiono tę podatność, aby zapewnić, że lista użytkowników jest generowana na podstawie właściciela AuthKey, a nie danych z żądania.
Oryginalny opis (angielski, źródło NVD)
An information disclosure vulnerability exists in the MISP AuthKey edit functionality. When a validation error occurs during an AuthKey edit request, the user dropdown was populated using the attacker-controlled AuthKey.user_id value from the submitted request data. An authenticated user with permission to edit an AuthKey could submit arbitrary user IDs and observe the returned dropdown data, allowing enumeration of user email addresses. The issue is fixed by deriving the dropdown user from the persisted AuthKey owner instead of the request body.