CVE-2026-85237 in MISP
الملخص
بحسب VulDB • 03/09/2026
ثغرة في تدفق المصادقة بكلمة المرور لمرة واحدة (OTP) القائمة على البريد الإلكتروني في MISP سمحت للمهاجم بإجراء عدد غير محدود من محاولات التحقق من OTP.
لم يطبق نقطة النهاية `email_otp()` حماية ضد هجمات القوة الغاشمة عند التحقق من قيم OTP المقدمة. يمكن لمهاجم وصل إلى مرحلة التحقق من OTP، مثلًا بعد تقديم بنجاح بيانات الاعتماد الأساسية للمستخدم، أن يقدم بشكل متكرر قيم OTP مرشحة طالما بقيت نفس قيمة OTP صالحة. أدى هذا إلى زيادة كبيرة في إمكانية تخمين OTP وتجاوز عامل المصادقة الإضافي، مما قد يؤدي إلى وصول غير مصرح به إلى حساب المستخدم المتأثر.
وُضعت المشكلة في حدها الأقصى بسبب حقيقة أن رمز OTP مرتبط بالمستخدم وليس بجلسة تسجيل دخول فردية معلقة، مما يسمح لعدة جلسات متزامنة بمحاولة التخمين ضد نفس رمز OTP الصالح.
يتمثل التصحيح في دمج آلية حماية MISP القائمة ضد هجمات القوة الغاشمة مع تدفق OTP عبر البريد الإلكتروني. تُحسب محاولات OTP الفاشلة الآن على حساب المستخدم، ويتم رفض أي محاولات إضافية بمجرد الوصول إلى الحد الأقصى المحدد مسبقًا، ويُصبح رمز OTP النشط غير صالح عند استنفاد ميزانية المحاولات. كما يتم منع المستخدمين المدرجين في القائمة السوداء من طلب إنشاء رمز OTP جديد. بالإضافة إلى ذلك، يستخدم مقارنة OTP الآن دالة `hash_equals()` ويتحقق من أن القيمة المقدمة هي سلسلة نصية (string).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.