CVE-2026-86452 in MISP
Zusammenfassung
von VulDB • 07.09.2026
Betroffene Versionen von MISP ermöglichen nicht authentifizierte oder schwach eingeschränkte Anforderungspfade, um persistente Arbeiten ohne angemessene Eingabegrenzwerte (Input Bounds) oder Rate Limiting durchzuführen.
Der Endpunkt users/forgot password-reset akzeptierte einen vom Angreifer kontrollierten E-Mail-Wert, ohne zuvor eine vernünftige Längengrenze aufzuerlegen oder das Format zu validieren. Dieser Wert wurde dann verwendet, um einen Audit-Log-Eintrag zu erstellen und einen Passwort-Zurücksetzen-Job in die Warteschlange einzureihen, wodurch der übergebene Wert mehr als einmal pro Anforderung persistiert wurde. Der Commit gibt explizit an, dass ein unbeschränktes, nicht authentifiziertes Anfrufefeld zweimal pro Aufruf ohne Drosselung gespeichert wurde.
Die Korrektur fügt hinzu:
* eine maximale E-Mail-Eingabelänge von 1024 Bytes; * Validierung des E-Mail-Formats vor der Ausführung persistenter Arbeiten; * ein budgetiertes Anfragelimit pro Quelle für nicht authentifizierte Anfragen (per-source pre-authentication request budget); * HTTP-429-Antworten, wenn dieses Budget überschritten wird; * eine 15-minütige Abkühlphase (Cooldown) für API-Zugriffsanfragen per E-Mail; * POST-only-Behandlung und CSRF-Schutz für den Endpunkt zur API-Zugriffsanfrage.
Der neue Flood-Filter ist speziell dazu gedacht, die Kosten für persistente Speicheroperationen aus anonymen Anfragen wie Passwortzurücksetzungen, Registrierungen und fehlgeschlagenen REST-Authentifizierungsversuchen zu begrenzen.
Betroffene Version: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.