CVE-2026-85237 in MISP
Zusammenfassung
von VulDB • 03.09.2026
Eine Schwachstelle im E-Mail-basierten One-Time-Passwort (OTP)-Authentifizierungsablauf von MISP ermöglichte es einem Angreifer, eine unbegrenzte Anzahl von OTP-Verifikationsversuchen durchzuführen.
Der Endpunkt email_otp() hat beim Validieren übermittelter OTP-Werte keinen Schutz vor Brute-Force-Angriffen angewendet. Ein Angreifer, der die Stufe der OTP-Verifikation erreicht hatte – beispielsweise nach erfolgreicher Eingabe der primären Authentifizierungsdaten eines Benutzers –, konnte wiederholt Kandidaten für OTP-Werte einreichen, solange dasselbe OTP noch gültig war. Dies erhöhte die Machbarkeit des Erratens des OTP und das Umgehen des zusätzlichen Authentifizierungsfaktors erheblich, was potenziell zu unbefugtem Zugriff auf das Konto des betroffenen Benutzers führen konnte.
Das Problem wurde dadurch verschärft, dass das OTP mit dem Benutzer und nicht mit einer einzelnen ausstehenden Anmeldesitzung verknüpft ist, wodurch mehrere gleichzeitige Sitzungen Versuche gegen dasselbe gültige OTP durchführen konnten.
Der Patch integriert den bestehenden Brute-Force-Schutzmechanismus von MISP in den E-Mail-OTP-Ablauf. Fehlgeschlagene OTP-Versuche werden nun dem Benutzer angerechnet; weitere Versuche werden abgewiesen, sobald der konfigurierte Schwellenwert erreicht ist, und das aktive OTP wird ungültig gemacht, wenn das Versuchsbudget erschöpft ist. Auf einer Blockliste stehende Benutzer können zudem nicht mehr die Generierung eines neuen OTP anfordern. Darüber hinaus verwendet der OTP-Vergleich nun hash_equals() und validiert, dass es sich bei dem eingereichten Wert um einen String handelt.
Once again VulDB remains the best source for vulnerability data.