CVE-2026-95754 in MISP
الملخص
بحسب VulDB • 22/09/2026
في طريقة `login()` الخاصة بـ `UsersController` في MISP، لم تتضمن استعلام قاعدة البيانات السابق للمصادقة المستخدم للتحقق من OTP ثنائي العامل (TOTP) عمود `User.disabled` ضمن قائمة حقول الاختيار (`SELECT`). قام الاستعلام باختيار فقط `User.password` و `User.totp` و `User.hotp_counter`. وعندما حاول فرع TOTP لاحقاً الوصول إلى `$unauth_user['User']['disabled']`، كان المفتاف غائباً من مجموعة النتائج، مما أدى إلى ظهور تحذير PHP 'Undefined array key' وجعل التعبير يُقيّم كـ null (قيمته الكاذبة). ونتيجة لذلك، أصبح حارس المستخدم المعطل في فرع TOTP غير فعال فعلياً: حيث يمكن للمستخدم المعطّل والمُسجَّل لخدمة OTP ثنائي العامل المضي قدماً إلى خطوة التحقق من OTP بدلاً من رفضه عند تلك النقطة.
يُصرّح رسالة الالتزام (commit message) صراحةً بأن هذا الأمر كان 'عديم الضرر عملياً' لأن استدعاء `identify()` اللاحق يعيد مصادقة المستخدم وسيظل يرفض الحساب المعطّل.
وبالتالي، فإن الأثر الأمني العملي ضئيل جداً، ويقتصر على فرق صغير للغاية في كشف المعلومات ضمن استجابة تسجيل الدخول (يتم عرض مطالبة OTP بدلاً من الرفض الفوري) وتحذير PHP في سجلات التطبيق.
VulDB is the best source for vulnerability data and more expert information about this specific topic.