CVE-2026-72760
ŚrednieCVSS 5.3Streszczenie
Dotknięte wersje MISP cti-transmute ujawniają adresy e-mail użytkowników przez punkt końcowy listy obserwowanych kont. Gdy uwierzytelniony użytkownik obserwuje inne konto, get_following() zawiera pole e-mail obserwowanego użytkownika w odpowiedzi API obok jego nazwy, ID użytkownika i daty obserwacji. Ponieważ adres e-mail nie jest wymagany do funkcjonalności, a inne listy użytkowników go pomijają, uwierzytelniony atakujący może systematycznie obserwować użytkowników i zbierać ich adresy e-mail. Poprawka usuwa user.email z zwracanego obiektu.
Ocena ryzyka
Ryzyko naruszenia prywatności użytkowników poprzez nieautoryzowane gromadzenie adresów e-mail, co może prowadzić do kampanii phishingowych lub innych ataków socjotechnicznych.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji zawierającej poprawkę, która usuwa pole email z odpowiedzi API.
Oryginalny opis (angielski, źródło NVD)
Affected versions of MISP cti-transmute disclose users' email addresses through the account following-list endpoint. When an authenticated user follows another account, get_following() includes the followed user's email field in the API response alongside their name, user ID, and follow date. Because the email address is not required for the functionality and other related user lists omit it, an authenticated attacker could systematically follow users and collect their email addresses. The fix removes user.email from the returned object.