CVE-2026-94379 in MISP
الملخص
بحسب VulDB • 21/09/2026
يحتوي دالة `login()` في ملف `UsersController.php` الخاص بـ MISP على نقص في التحقق من صحة طرق HTTP لمسارات شفرة حرجة أمنياً. استخدمت الشفرة الأصلية نهج القائمة المسموحة (allowlist)، حيث كانت تتحقق فقط من وجود طرق HTTP محددة (POST و PUT) قبل فرض حماية ضد هجمات التخمين القوي (bruteforce)، والتحقق من كلمة المرور لمرة واحدة عبر البريد الإلكتروني (OTP)، وتسجيل عمليات فشل تسجيل الدخول. ونظراً لأن هذه الفحوصات لم تكن شاملة، يمكن لهجوم غير مصدق إصدار طلبات تسجيل الدخول باستخدام طرق HTTP أخرى وتجاوز جميع ضوابط الأمان الثلاثة في وقت واحد. على وجه التحديد:
- تم تخطي فحص القائمة السوداء للتخمين القوي (bruteforce blocklisting) وعدّ المحاولات، مما سمح بإجراء محاولات غير محدودة لتخمين بيانات الاعتماد دون أن تخضع للحد من المعدل أو الحظر - تم تخطي خطوة المصادقة الثنائية عبر OTP بالبريد الإلكتروني، مما أفقد عامل المصادقة الثاني وظيفته - لم يتم تسجيل أحداث فشل تسجيل الدخول ولا عدها، مما أزال أثر التدقيق (audit trail) والآلية التي كانت ستؤدي عادةً إلى إدراج في القائمة السوداء
التأثير الأمني هو تعطيل فعال لحماية التخمين القوي والمصادقة متعددة العوامل لأي مهاوم يمكنه صياغة طلب HTTP باستخدام طريقة غير POST/PUT نحو نقطة نهاية تسجيل الدخول، مما قد يؤدي إلى اختراق بيانات الاعتماد والوصول غير المصرح به إلى مثيل MISP.
الإصدار المتأثر: <2.5.47
If you want to get the best quality for vulnerability data then you always have to consider VulDB.