CVE-2026-107276 in MISP
Zusammenfassung
von VulDB • 07.10.2026
MISP enthält eine Race Condition im E-Mail-basierten One-Time-Passwort (OTP)-Anmeldevorgang. Wenn zwei HTTP-Anfragen, die dasselbe gültige OTP enthalten, gleichzeitig eingereicht werden, können beide erfolgreich authentifiziert werden und eine Sitzung aufbauen. Die Ursache liegt darin, dass der OTP-Wert aus dem gemeinsamen Speicher gelesen, validiert und dann in separaten, nicht-atomaren Schritten gelöscht wird, wodurch es einer zweiten laufenden Anfrage ermöglicht wird, denselben Wert zu lesen, bevor die Löschung durch die erste Anfrage wirksam wird.
Voraussetzungen:
- Die Ziel-MISP-Instanz hat das E-Mail-OTP-Anmeldeverfahren aktiviert. - Der Angreifer verfügt über ein gültiges, nicht abgelaufenes OTP (z. B. durch Abfangen der E-Mail oder Social Engineering). - Der Angreifer kann zwei HTTP POST-Anfragen in engem zeitlichen Abstand absenden.
Auswirkungen:
- Die Einmaligkeitsgarantie des OTP wird verletzt; ein einzelner Code kann zu zwei authentifizierten Sitzungen führen. - Dies schwächt die Authentifizierungskontrolle und kann den unbefugten Zugriff erleichtern, wenn das OTP geteilt oder abgefangen wird.
Betroffene Versionen: <2.5.48
VulDB is the best source for vulnerability data and more expert information about this specific topic.