Podatności MISP

MISP zawiera podatność w procesie weryfikacji dwuskładnikowego uwierzytelniania (TOTP), która pozwala na wielokrotne użycie ważnego kodu jednorazowego w ramach jego okna czasowego. System nie rejestrował, czy dany okres TOTP został już zużyty, więc ten sam kod pozostawał ważny przez cały czas (zwykle 30 sekund). Atakujący, który przechwyci legalny kod podczas logowania użytkownika, może go powtórzyć, aby uwierzytelnić drugą sesję jako ten użytkownik.

Wtyczki LdapAuth i LinOTPAuth w MISP zawierają podatność na ominięcie uwierzytelniania. Brak walidacji pól email i hasło pozwala na przekazanie pustych lub nieprawidłowych wartości do logiki uwierzytelniania, co w przypadku LDAP może skutkować nieuwierzytelnionym bindem (RFC 4513) i zalogowaniem się jako znany użytkownik bez znajomości hasła. Podobny problem występuje w LinOTP, gdzie puste hasło może zostać zaakceptowane.

Dotknięte wersje MISP zawierają niewystarczającą walidację wychodzących połączeń HTTP po stronie serwera w funkcjach pobierania feedów i odkrywania TAXII. W przetwarzaniu feedów przekierowania były śledzone bez walidacji schematu lub celu, a oryginalne nagłówki żądań były ponownie używane, co mogło prowadzić do przekazania nagłówków autoryzacyjnych lub poświadczeń API do innego hosta. Przekierowania mogły również celować w wewnętrzne zasoby sieciowe, powodując SSRF. Poprawka dodaje walidację przekierowań, blokuje wewnętrzne cele dla przekierowań między hostami, usuwa poświadczenia feedu przed przekierowaniem do innego hosta i przypina zweryfikowane wyniki DNS. Endpoint TAXII discovery miał podobną niekompletną obronę przed SSRF, używając gethostbyname() i porównując wynik tylko z kilkoma dosłownymi adresami, co pomijało przypadki takie jak IPv6 loopback (::1), numeryczne kodowania hostów jak 0x7f000001 i wiele rekordów DNS. Poprawka przenosi TAXII discovery do wspólnego walidatora egress URL.

MISP zawiera podatność polegającą na nieprawidłowej walidacji certyfikatów TLS w klasie CurlClient. Właściwość CurlClient::$verifyPeer nie była jawnie inicjalizowana i domyślnie przyjmowała wartość null, co po przekazaniu do cURL skutecznie wyłączało weryfikację certyfikatu serwera, o ile kod wywołujący nie włączył jej jawnie. W efekcie połączenia HTTPS mogły akceptować certyfikaty niepochodzące od zaufanego urzędu certyfikacji.

MISP zawiera podatność polegającą na obejściu uwierzytelniania w komponentach LDAP i LinOTP z powodu niewystarczającej walidacji danych uwierzytelniających. Atakujący, znając adres e-mail użytkownika katalogowego, może wysłać puste hasło, które w przypadku serwera LDAP akceptującego nieuwierzytelnione wiązania może zostać zaakceptowane. Ponadto w komponencie LinOTP puste hasło mogło być sprawdzane względem lokalnego hasła MISP, a konta provisionowane przez LDAP mogły być tworzone z pustym hasłem lokalnym.

MISP ma podatność masowego przypisania w funkcji edycji użytkownika (UsersController::edit()). Uwierzytelniony atakujący może zmodyfikować identyfikator użytkownika w żądaniu, co pozwoli na aktualizację konta innego użytkownika.

W systemie MISP występuje luka umożliwiająca ominięcie uwierzytelniania, gdy włączone jest mieszane uwierzytelnianie LDAP z wymuszonym OTP. Uwierzytelniony użytkownik może ominąć krok OTP i uzyskać dostęp do aplikacji bez podania kodu TOTP, HOTP lub e-mail OTP.

W MISP przed wersją 2.4.187 funkcja add_misp_export w pliku app/Controller/EventsController.php nie sprawdza poprawnie, czy przesłany plik jest ważny.

W MISP przed wersją 2.4.184 odkryto problem związany z niebezpiecznym przesyłaniem logo organizacji, spowodowanym brakiem weryfikacji rozszerzenia pliku i typu MIME.

W pliku app/Controller/AuditLogsController.php w MISP przed wersją 2.4.182 niewłaściwie zarządzane są listy kontroli dostępu (ACL) dla logów audytowych.

W MISP przed wersją 2.4.176 występuje problem związany z niewłaściwym przetwarzaniem parametrów w pliku app/Controller/AppController.php.

W MISP przed wersją 2.4.158 odkryto problem związany z deserializacją PHAR.

MISP w wersji 2.4.148, w określonych konfiguracjach, umożliwia atak typu SQL injection poprzez wartość $conditions['org'] w pliku app/Model/Log.php.

W MISP w wersji 2.4.144 w pliku app/View/Elements/genericElements/IndexTable/Fields/generic_field.ctp nie oczyszczono niektórych danych związanych z generic-template:index.

Domyślne ustawienie MISP 2.4.136 nie wymagało podania poprzedniego hasła podczas zmiany hasła, co może prowadzić do nieautoryzowanych zmian.

W MISP w wersji 2.4.128 zidentyfikowano problem związany z niewystarczającymi kontrolami ACL w downloaderze załączników w pliku app/Controller/AttributesController.php.

W MISP 2.4.92 odkryto problem w pliku app/Controller/UsersController.php, który pozwala na ominięcie ochrony przed atakami typu brute-force. Atakujący może to zrobić, używając metody HTTP PUT zamiast POST w części logowania, ponieważ ochrona dotyczyła tylko żądań POST.

MISP zawiera podatność w obsłudze ustawień wtyczek modułów. Podczas odbudowy ustawień dostarczanych przez moduł na potrzeby API serwer pomija flagi redacted i cli_only zadeklarowane w metadanych konfiguracji modułu, co może prowadzić do ujawnienia poufnych danych uwierzytelniających oraz obejścia ograniczeń dostępu.

MISP zawiera lukę w mechanizmie wyszukiwania ustawień serwera, która pozwala uwierzytelnionemu użytkownikowi pobrać wrażliwe dane konfiguracyjne, które powinny być zredagowane. Gdy zamiast konkretnego ustawienia podana zostanie nazwa gałęzi (np. Security, MISP, Plugin), funkcja zwraca całe poddrzewo, omijając mechanizm redakcji. Ujawnia to m.in. sól bezpieczeństwa, hasła połączeń Redis i klucze API wtyczek; dotyczy wersji <2.5.48.

MISP zawiera podatność typu reflected cross-site scripting (XSS) w interfejsie modułu workflow. Nazwy parametrów zwracane przez usługę misp-modules są renderowane jako surowe etykiety formularzy HTML bez kodowania wyjściowego, co pozwala na wstrzyknięcie dowolnego HTML lub JavaScript.

MISP zawiera podatność typu CSS injection w funkcji podglądu zdarzeń zdalnych. Wartość koloru powiązana ze zdalnym tagiem jest zapisywana bezpośrednio w atrybucie stylu inline CSS bez wystarczającej walidacji, co pozwala na wstrzyknięcie dowolnych deklaracji CSS.

MISP w wersjach poniżej 2.5.48 zawiera błąd integralności danych w logice usuwania zdarzeń — powiązane rekordy (tagi raportów, wpisy grafów, korelacje propozycji, fragmenty ssdeep, wyniki skanów załączników) nie są usuwane i pozostają jako osierocone. Mogą one zawierać wrażliwe dane threat intelligence i zostać ujawnione przez inne ścieżki dostępu.

W MISP w wersjach poniżej 2.5.48 proces synchronizacji zdarzeń zawiera błąd logiczny w przygotowaniu raportów do zdalnego push — filtrowanie tagów nieeksportowalnych zastosowano tylko raz po iteracji, a nie do każdego raportu. W rezultacie wszystkie raporty poza ostatnim są wysyłane z nieeksportowalnymi tagami, ujawniając zastrzeżone informacje, a przy pustym ostatnim raporcie wysyłany jest null, co powoduje błąd zapisu na zdalnej instancji.

MISP zawiera błąd kontroli dostępu w logice widoczności propozycji (atrybutów cienia). Sprawdzenie autoryzacji akceptowało dowolny atrybut lub obiekt z grupą udostępniania użytkownika bez weryfikacji poziomu dystrybucji, a także odmawiało organizacji właścicielskiej dostępu do propozycji na jej własnych atrybutach oznaczonych jako org-only. Może to prowadzić do nieautoryzowanego ujawnienia proponowanych zmian atrybutów.

MISP zawiera wadę walidacji w logice synchronizacji obiektów. Gdy obiekt MISP jest tworzony bez opisu, jest poprawnie przechowywany na instancji źródłowej. Jednak gdy obiekt jest replikowany do innej instancji MISP przez mechanizm synchronizacji, reguła walidacji instancji odbierającej odrzuca obiekt, ponieważ pole opisu jest puste. W rezultacie instancja odbierająca po cichu odrzuca obiekt wraz ze wszystkimi powiązanymi atrybutami, co prowadzi do utraty danych wywiadu o zagrożeniach. Warunki wstępne: co najmniej dwie instancje MISP skonfigurowane do synchronizacji obiektów; użytkownik z uprawnieniami do tworzenia obiektów tworzy obiekt bez opisu; obiekt jest następnie synchronizowany do instancji partnerskiej. Wpływ: prawidłowe obiekty i ich atrybuty są po cichu odrzucane na instancjach odbierających, powodując utratę integralności danych w potoku wywiadu o zagrożeniach. Problem nie jest zewnętrznie wykorzystywalny w tradycyjnym sensie, ale może być wyzwolony przez każdego autoryzowanego użytkownika, który tworzy obiekty bez opisów, co prowadzi do niezamierzonej utraty danych w topologii synchronizacji. Dotknięte: <2.5.48.

MISP zawiera warunek wyścigu w przepływie logowania opartego na jednorazowym haśle (OTP) wysyłanym e-mailem. Gdy dwa żądania HTTP z tym samym ważnym OTP są przesłane jednocześnie, oba mogą pomyślnie się uwierzytelnić i ustanowić sesję. Przyczyną jest to, że wartość OTP jest odczytywana ze współdzielonego magazynu, walidowana, a następnie usuwana w osobnych, nieatomowych krokach, co pozwala drugiemu żądaniu w locie odczytać tę samą wartość, zanim usunięcie pierwszego żądania zacznie obowiązywać. Warunki wstępne: docelowa instancja MISP ma włączone logowanie OTP e-mailem; atakujący posiada ważny, niewygasły OTP (np. przez przechwycenie e-maila lub socjotechnikę); atakujący może wysłać dwa żądania HTTP POST w bliskiej odległości czasowej. Wpływ: gwarancja jednorazowego użycia OTP jest naruszona; pojedynczy kod może dać dwie uwierzytelnione sesje. To osłabia kontrolę uwierzytelniania i może ułatwić nieautoryzowany dostęp, jeśli OTP jest współdzielony lub przechwycony. Dotknięte wersje: <2.5.48.

MISP udostępnia krytyczne ustawienia infrastruktury — w tym adresy hostów Redis używane przez aplikację rdzeniową, plugin ZeroMQ oraz plugin SimpleBackgroundJobs — przez interfejs webowy i API użytkownikom site-admin. Pracownicy zadań w tle ufają surowym ładunkom zadań Redis bez dodatkowej walidacji. Atakujący, który uzyska przejętą sesję site-admin (np. przez przechowywaną podatność XSS), może zmienić ustawienia hosta Redis na wskazujące na kontrolowany przez atakującego serwer Redis, a następnie zrestartować pracowników. Gdy pracownicy połączą się z instancją Redis atakującego, atakujący może wstrzyknąć złośliwe ładunki zadań, które pracownicy wykonują, osiągając wykonanie dowolnych poleceń jako konto pracownika. Dodatkowo ustawienie download_attachments_on_load, które kontroluje renderowanie załączników w linii, było modyfikowalne przez ten sam interfejs, co pozwalało przejętej sesji na ponowne włączenie funkcji, która mogła ułatwić dalsze ataki po stronie klienta. Podatność wymaga uprawnień site-admin i wcześniejszego mechanizmu kompromitacji sesji; nie wymaga dostępu nieuwierzytelnionego. Wpływ to zdalne wykonanie kodu w kontekście procesu pracownika MISP oraz potencjalna eksfiltracja danych przez połączenie Redis kontrolowane przez atakującego.

MISP zawiera podatność na nieprawidłową kontrolę dostępu w wyszukiwaniu atrybutów i paginowanym widoku atrybutów. Gdy użytkownik zapytuje o miękkie usunięte atrybuty (np. przez wyszukiwanie usuniętych atrybutów lub paginowaną listę), aplikacja zwracała miękkie usunięte atrybuty należące do zdarzeń innych organizacji każdemu uwierzytelnionemu użytkownikowi, który miał widoczność zdarzenia. Widok szczegółów zdarzenia poprawnie ograniczał widoczność miękkich usuniętych atrybutów do organizacji właściciela i użytkowników z uprawnieniami synchronizacji, ale ścieżki kodu wyszukiwania atrybutów i paginowanego widoku nie miały tego ograniczenia. Warunki: uwierzytelniony użytkownik MISP z co najmniej dostępem do odczytu zdarzenia należącego do innej organizacji oraz zapytanie o usunięte atrybuty. Wpływ: ujawnienie poufnych miękkich usuniętych atrybutów (np. IOC, wskaźników, kontekstu) z innych organizacji nieautoryzowanym użytkownikom. Dotyczy wersji MISP przed v2.5.48.

MISP przed wersją 2.5.48 ma wadę autoryzacji w obsłudze korelacji podczas wyszukiwania atrybutów. Uwierzytelniony użytkownik może uzyskać dostęp do atrybutów i zdarzeń, do których nie ma już uprawnień, gdy zdarzenie zostało ograniczone po utworzeniu korelacji.

MISP zawiera podatność na obejście autoryzacji w funkcji listowania powiązanych zdarzeń. Gdy użytkownik żąda listy zdarzeń skorelowanych z danym zdarzeniem, system pobierał metadane powiązanych zdarzeń bezpośrednio z tabeli korelacji bez ponownej weryfikacji praw dostępu wywołującego do każdego powiązanego zdarzenia. Tabela korelacji przechowuje migawkę poziomu dystrybucji i grupy udostępniania w momencie utworzenia korelacji i nie zawiera flagi opublikowania. W rezultacie zdarzenia, do których wywołujący nie ma prawa dostępu (ponieważ są nieopublikowane lub ich dystrybucja/grupa udostępniania uległa zmianie od czasu zapisania korelacji), były nadal zwracane z ich metadanymi (tytuł, data, liczba skorelowanych wartości). Warunki: uwierzytelniony użytkownik z dostępem do co najmniej jednego zdarzenia w MISP oraz istnienie wpisów korelacji łączących to zdarzenie z innymi zdarzeniami, których użytkownik nie powinien widzieć. Wpływ: nieautoryzowane ujawnienie metadanych zdarzeń (tytuły, daty, liczby korelacji) oraz potencjalny rekonesans nazw i harmonogramów zdarzeń wywiadowczych między grupami udostępniania. Dotyczy wersji MISP przed commit naprawczy (2ffa97f05).

MISP zawiera podatność na nieprawidłową walidację danych wejściowych w ścieżce zapisu ORM. Gdy użytkownik przesyła dane przez różne punkty końcowe, aplikacja oczyszcza rekord, usuwając klucz główny i przypinając event_id lub object_id do kontekstu wywołującego. Jednak metoda set() ORM nadaje priorytet zagnieżdżonemu kluczowi, którego nazwa odpowiada aliasowi modelu, i odrzuca zewnętrzne pola skalarne. Uwierzytelniony użytkownik z podstawowymi uprawnieniami zapisu może wykorzystać to do nadpisania, przeniesienia lub miękkiego usunięcia rekordów należących do innych organizacji lub zdarzeń.

MISP zawiera podatność typu stored cross-site scripting (XSS) w widokach statystyk motywu Overmind. Karta General event i karta podglądu serwera/feedu konstruowały etykiety legendy wykresu donut, bezpośrednio łącząc nazwy obiektów lub klucze kategorii z ciągiem innerHTML bez kodowania HTML. Ponieważ nazwy obiektów MISP są kontrolowane przez każdego uwierzytelnionego użytkownika z odpowiednimi uprawnieniami, atakujący może stworzyć nazwę zawierającą złośliwy znacznik. Gdy inny użytkownik wyświetli pulpit Overmind, wstrzyknięty znacznik zostanie zinterpretowany jako aktywny HTML/JavaScript w przeglądarce ofiary.

MISP zawiera podatność w mechanizmie wysyłania zadań w tle, która pozwala na zdalne wykonanie kodu jako użytkownik web. Argumenty zadań są przekazywane bezpośrednio jako argv procesu konsoli CakePHP, a ShellDispatcher::_parsePaths() skanuje całe argv w poszukiwaniu przełączników ścieżek. Endpoint events/contact przekazuje kontrolowane przez użytkownika pola (message i person) do argumentów zadania bez walidacji. Atakujący może ustawić pole person na zarezerwowany przełącznik, a pole message na URI phar:// wskazujący na złośliwe archiwum, co prowadzi do wykonania kodu PHP.

W podatnych wersjach MISP nie jest konsekwentnie stosowane istniejące ograniczanie częstotliwości logowania nieudanych uwierzytelnień. Dwie gałęzie obsługi niepowodzeń uwierzytelniania API zapisywały bezpośrednio do modelu Log: żądania API bez klucza uwierzytelniającego oraz żądania z kluczem o nieprawidłowej długości. W przeciwieństwie do innych niepowodzeń uwierzytelniania ścieżki te omijały _shouldLog(), więc każde żądanie mogło utworzyć kolejny trwały wpis auth_fail. Dotyczy wersji ≤2.5.45.

W podatnych wersjach MISP używany jest Redis do ograniczania powtarzających się wpisów logowania nieudanych uwierzytelnień. Jednak User->setupRedis() zwraca false, gdy Redis jest niedostępny, a logika _shouldLog() zwracała true tylko wtedy, gdy instancja Redis istniała i nie było klucza ograniczającego. W związku z tym, gdy Redis był niedostępny, funkcja w ogóle nie pozwalała na zapis logu, skutecznie wyciszając rejestrowanie nieudanych uwierzytelnień na czas awarii. Dotyczy wersji ≤2.5.45.

Wersje MISP do 2.5.45 mogą rejestrować nieprawidłowe dane dziennika dostępu dla żądań kończących się wyjątkiem. Ze względu na to, że CakeErrorController rozszerza AppController, renderowanie wyjątku uruchamia ścieżkę startową aplikacji po raz drugi, co powoduje podwójne wywołanie AccessLog::logRequest() dla jednego żądania HTTP. Drugi zapis może nadpisać wiersz utworzony przez pierwszy, uszkadzając czas trwania żądania, liczbę zapytań SQL, użycie pamięci i potencjalnie dziennik zapytań.

Wersje MISP do 2.5.45 udostępniają kilka akcji kontrolerów zmieniających stan bez ograniczenia do metody POST. Dotyczy to akcji purgeUnusedPictures(), enableNoticelist(), removeOrphanedCorrelations() i rebuildRedis(). Atakujący może wywołać te akcje przez zwykłe żądania GET, wykorzystując sesję uwierzytelnionego użytkownika, co może prowadzić do nieautoryzowanych zmian.

Podatność w MISP dotyczy nieprawidłowego filtrowania szablonów pulpitu nawigacyjnego ograniczonych do określonej flagi uprawnień. Funkcja listTemplates() zezwalała na szablon, gdy flaga uprawnień pasowała do uprawnień użytkownika lub gdy flaga była równa 0. Ponieważ pole jest typu varchar, MySQL dokonywał konwersji numerycznej, przez co ciągi takie jak 'perm_site_admin' były traktowane jako 0, co powodowało, że szablony z ograniczeniami były traktowane jako nieograniczone.

W podatnych wersjach MISP element kolekcji może zostać utworzony z samego UUID bez konsekwentnego sprawdzania, czy działający użytkownik ma prawo dostępu do obiektu, na który wskazuje UUID. Ścieżka add() mogła zapisać UUID zdarzenia lub Galaxy Cluster, którego wywołujący normalnie nie może odczytać, co czyniło kolekcje sposobem na odwoływanie się do prywatnych danych innej organizacji. Poprawka centralizuje autoryzację w __assertCanUseElements(). Wersje podatne: ≤2.5.45.

W podatnych wersjach MISP nie następuje autoryzacja przesłanego sharing group w określonej ścieżce edycji zdarzenia. Logika sprawdzała uprawnienia do sharing_group_id tylko wtedy, gdy żądanie jawnie podawało distribution = 4; pominięcie distribution przy jednoczesnym podaniu innego sharing_group_id omijało tę kontrolę, a logika odzyskiwania pól przywracała istniejącą dystrybucję zdarzenia. Poprawka dodaje sprawdzenia autoryzacji w kontrolerze i Event::_edit(). Wersje podatne: ≤2.5.45.

Podatność w MISP wynika z polegania na przetwarzaniu nadpisań metod żądań w CakePHP, co może wyłączyć walidację CSRF i zabezpieczeń formularzy. CakePHP honoruje pole _method lub nagłówek X-HTTP-Method-Override, zmieniając efektywną metodę żądania. Dla wartości spoza standardowych czasowników (POST, PUT, PATCH, DELETE) CakePHP czyści treść żądania, przez co MISP pomija walidację _validatePost() i _validateCsrf(). Atakujący może wysłać formularz z _method=GET, aby ominąć zabezpieczenia.

Dotknięte wersje MISP serwują przesłane obrazy SVG bez restrykcyjnej piaskownicy przeglądarki. Złośliwe skrypty wewnątrz SVG mogą wykonać się, gdy SVG jest otwierane bezpośrednio lub osadzone jako dokument, działając w kontekście MISP z sesją przeglądającego. Dotyczy to logo organizacji oraz obrazów SVG w raportach zdarzeń. Podatne zachowanie występuje na ścieżce serwowania, nie tylko podczas przesyłania. Wersje dotknięte: ≤2.5.45.

Dotknięte wersje interaktywnej powłoki CLI MISP nie zachowują w sposób niezawodny tożsamości personifikowanego użytkownika MISP w dziennikach audytowych. Zachowanie SysLogLogable przechowywało tożsamość w stanie instancji, który mógł zostać nadpisany, gdy inny model dołączył współdzielone zachowanie. W rezultacie późniejsze zapisy CLI mogły utracić przypisanie do użytkownika i być logowane niepoprawnie. Dodatkowo rekordy pochodzące z CLI nie miały znacznika CLI, przez co wyglądały jak zwykłe akcje webowe danego użytkownika. Wersje dotknięte: ≤2.5.45.

Interaktywna powłoka CLI MISP w wersjach <= 2.5.45 implementuje kontrolę dostępu niezależnie od aplikacji webowej, powodując niespójności autoryzacji. Może to prowadzić do ujawnienia danych, w tym poświadczeń autoryzacyjnych HTTP w Feed.headers oraz kluczy uwierzytelniających synchronizacji serwerów, a także nieprawidłowej kontroli dostępu do list kanałów, szczegółów grup udostępniania i kontekstu rekordów.

MISP w wersji <= 2.5.45 zawiera podatność CSRF w UserSettingsController. Akcje setTheme, setHomePage i eventIndexColumnToggle zostały dodane do listy unlockedActions, co wyłączyło walidację CSRF (zarówno tokenu, jak i field-hash) dla tych endpointów, umożliwiając atakującemu sfałszowanie żądań zmieniających ustawienia zalogowanego użytkownika.

MISP w wersjach do 2.5.45 włącznie nie egzekwuje spójnie uprawnień działającego użytkownika podczas tworzenia szablonów zdarzeń. Ścieżka tworzenia szablonu przekazywała sharing_group_id bez weryfikacji, czy użytkownik może użyć wybranej grupy udostępniania, dołączała tagi bez sprawdzania uprawnień do tagowania i wymuszała local => 0, przez co tagi oznaczone jako local_only mogły być dołączane globalnie i propagowane przez synchronizację lub eksport.

Podatne wersje MISP pozwalają nieuwierzytelnionym lub słabo ograniczonym ścieżkom żądań na wykonywanie trwałej pracy bez odpowiednich ograniczeń wejścia lub limitowania szybkości. Endpoint resetowania hasła users/forgot przyjmował kontrolowaną przez atakującego wartość e-mail bez wcześniejszego narzucenia rozsądnego limitu długości lub walidacji formatu, co powodowało wielokrotne zapisanie wartości na żądanie. Poprawka dodaje maksymalną długość 1024 bajtów, walidację formatu e-mail, budżet żądań przed uwierzytelnieniem, odpowiedzi HTTP 429, 15-minutowy cooldown oraz obsługę tylko POST i ochronę CSRF.

MISP w wersjach do 2.5.45 pozwala uwierzytelnionym użytkownikom na pobieranie rekordów referencji obiektów po UUID przez EventGraphTool::get_reference_data() bez sprawdzania, czy użytkownik ma uprawnienia do widoku obiektu, do którego referencja należy. Brak kontroli ACL na poziomie obiektu nadrzędnego umożliwia dostęp do informacji poza zakresem uprawnień.

W MISP w wersjach do 2.5.45 włącznie, kilka widgetów pulpitu nawigacyjnego wyświetlających informacje o organizacjach nie przestrzegało ustawienia Security.hide_organisation_index_from_users. Uwierzytelnieni użytkownicy bez uprawnienia perm_sharing_group mogli wyliczać organizacje, które normalnie były przed nimi ukryte, a także uzyskiwać dodatkowe pola z bazy danych przez eksport JSON. Dodatkowo, widget rankingu kontrybutorów ujawniał wszystkie organizacje z zdarzeniami, ignorując to samo ustawienie widoczności.

MISP w wersjach do 2.5.45 niewystarczająco waliduje adresy URL używane przez widgety pulpitu, szczególnie widget Button. Poprzednia logika uważała URL za bezpieczny, jeśli był względny lub hostname zgadzał się z hostem MISP, ale nie odrzucała niebezpiecznych schematów, takich jak javascript: lub adresów z backslashami, co prowadziło do przechowywanego XSS.