Затронутые версии MISP предоставляют метаданные организации через панель выбора организации без применения тех же ограничений видимости, которые применяются к обычному индексу организации и представлению для каждой организации. Затронутая конечная точка вернула поля, включая:
*
идентификатор организации;
*
УУИД;
*
имя. Когда Security.hide_organisation_index_from_users был включен, обычное перечисление организаций было ограничено, но средство выбора информационной панели по-прежнему запрашивало все организации.
Это позволило аутентифицированным пользователям обнаружить организации, которые должны были оставаться от них скрытыми. Исправление вызывает Organization::createConditions($this->Auth->user()) и добавляет полученные условия ACL к запросу средства выбора. Таким образом, обычные пользователи ограничены организациями, связанными с событиями или предложениями, которые они уже могут видеть, а также своей собственной организацией, в то время как пользователи с соответствующими привилегиями группы общего доступа сохраняют более широкую видимость.
Затронутая версия: ≤2.5.45
Показать оригинальное описание (EN)
Affected versions of MISP expose organisation metadata through the dashboard organisation picker without applying the same visibility restrictions enforced by the normal organisation index and per-organisation view. The affected endpoint returned fields including: * organisation ID; * UUID; * name. When Security.hide_organisation_index_from_users was enabled, normal organisation enumeration was restricted, but the dashboard picker still queried all organisations. This allowed authenticated users to discover organisations that should have remained hidden from them. The fix calls Organisation::createConditions($this->Auth->user()) and appends the resulting ACL conditions to the picker query. Ordinary users are thereby limited to organisations associated with events or proposals they can already see, plus their own organisation, while users with the appropriate sharing-group privilege retain broader visibility. Version affected: ≤2.5.45
Характеристики атаки
Последствия
Строка CVSS v4.0