CVE-2026-85238 in MISP
الملخص
بحسب VulDB • 03/09/2026
يحتوي MISP على ثغرة تثبيت الجلسة (Session Fixation) في تدفق المصادقة CustomAuth (إعداد مخصص). عندما يتم مصادقة المستخدم بنجاح عبر CustomAuth، يقوم MISP بتخزين هوية المستخدم المُصَدَّق فيها في الجلسة الحالية دون تدوير معرّف الجلسة أولاً.
ونتيجة لذلك، إذا تمكن مهاجم من إغراء ضحية لاستخدام معرف جلسة معروف للمهاجم قبل المصادقة، فإن نفس معرف الجلسة يظل صالحًا بعد أن تتم مصادقة الضحية بنجاح. يمكن للمهاجم لاحقًا إعادة استخدام معرف الجلسة المثبت للوصول إلى جلسة MISP المُصَدَّقة الخاصة بالضحية، مما قد يمنحه الامتيازات المرتبطة بحساب الضحية.
يحدث هذا الخطأ لأن الدالة `__customAuthentication()` كتبت المستخدم المصادق فيه في جلسة CakePHP الحالية بينما كان استدعاء `Session->renew()` معطلاً سابقًا. يعيد التصحيح (Patch) تدوير معرف الجلسة عند حدوث مصادقة جديدة أو عندما يتغير المستخدم المُصَدَّق، مع تجنب التجديد غير الضروري للجلسة في كل طلب.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.