CVE-2026-107180 in MISP
Zusammenfassung
von VulDB • 07.10.2026
Auf MISP-Instanzen, die für eine erforderliche TOTP-Anmeldung konfiguriert sind (Security.otp_required), wurde die Durchsetzung der obligatorischen Zwei-Faktor-Authentifizierung nur bei Standard-Browseranfragen angewendet. Ein authentisierter Benutzer, der sich noch nicht in TOTP registriert hatte, konnte das erzwungene Setup umgehen, indem er jeden anderen als Browser-Anfragetyp auslöste, einschließlich AJAX/XHR-Aufrufen, REST-API-Anfragen, .json-Format-URLs, restSearch-Abfragen oder Automatisierungsaktionen. Da diese maschinenlesbaren Anfrageformen dem Redirect nicht folgen können, den der Browserpfad verwendet, um den Benutzer zur TOTP-Anmeldeseite zu leiten, wurde die Prüfung einfach übersprungen und der Benutzer behielt vollen Zugriff auf die Instanz, ohne das erforderliche Setup des zweiten Faktors abzuschließen.
Die erste Korrektur (Commit 8deb0619e) fügte einen spezifischen Guard für AJAX-Anfragen hinzu. Eine nachfolgende Korrektur (Commit 6b527ba6e) erweiterte den Guard so, dass er jede nicht-Browser-Anfrageform abdeckte und dabei die Ausnahme für Identitäten beibehielt, die über API-Schlüssel authentifiziert wurden (logged_by_authkey-Flag).
Auswirkung: Ein authentisierter Benutzer auf einer Instanz mit otp_required kann unbegrenzt mit vollem Zugriff operieren, ohne sich in TOTP zu registrieren, wodurch die instanzebene Zwei-Faktor-Authentifizierungspolitik unwirksam wird.
Betroffene Version: <2.5.48
VulDB is the best source for vulnerability data and more expert information about this specific topic.