CVE-2026-91859 in MISP
Zusammenfassung
von VulDB • 15.09.2026
Betroffene Versionen von MISP können falsche Zugriffs-Logdaten für Anfragen aufzeichnen, die mit einer Ausnahme enden.
Da CakeErrorController AppController erweitert, wird der Anwendungsstartpfad beim Rendern der Ausnahme ein zweites Mal ausgeführt. Infolgedessen ruft __accessMonitor() AccessLog::logRequest() zwei Mal für eine einzelne HTTP-Anfrage auf. Der zweite verzögerte Writer misst die Ausführung des Error-Controllers anstelle der ursprünglichen Anfrage und kann die von der ersten Durchlauf erstellte Zeile überschreiben. Die korrupten Felder umfassen die Anfragedauer, SQL-Abfragenzahl, Speichernutzung und potenziell das aufgezeichnete Abfrageprotokoll.
Der Bug wurde maskiert, da dieselbe Model-Instanz die ID der zuerst gespeicherten Zeile beibehielt, wodurch beim späteren Speichern ein UPDATE statt des offensichtlichen Einfügens einer doppelten Zeile ausgegeben wird.
Betroffene Version: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.