CVE-2026-94379 in MISP
Zusammenfassung
von VulDB • 21.09.2026
Die `login()`-Funktion in der Datei `UsersController.php` von MISP wies eine unzureichende HTTP-Methodenvalidierung für mehrere sicherheitskritische Codepfade auf. Der ursprüngliche Code verwendete einen Allowlist-Ansatz und prüfte nur auf bestimmte HTTP-Methoden (POST und PUT), bevor Brute-Force-Schutz, die Einmal-Passwort-(OTP)-Verifizierung per E-Mail sowie das Protokollieren von Login-Fehlern durchgesetzt wurden. Da diese Prüfungen nicht vollständig waren, konnte ein unberechtigter Angreifer Login-Anfragen mit anderen HTTP-Methoden absenden und alle drei Sicherheitskontrollen gleichzeitig umgehen. Insbesondere:
* Die Brute-Force-Sperrlistenprüfung (Blocklisting) und der Versuchszähler wurden übersprungen, was unbegrenzte Versuche zum Erraten von Anmeldedaten ohne Ratenbegrenzung oder Sperrung ermöglichte; * Der Zwei-Faktor-Authentifizierungsschritt über das E-Mail-OTP wurde übersprungen, wodurch die zweite Authentifizierungsinstanz wirkungslos gemacht wurde; * Login-Fehlerereignisse wurden weder protokolliert noch gezählt, was den Audit-Trail sowie den Mechanismus entfernte, der normalerweise einen Sperrlisteneintrag auslösen würde.
Die Sicherheitsauswirkung besteht in der effektiven Deaktivierung des Brute-Force-Schutzes und der Multi-Faktor-Authentifizierung für jeden Angreifer, der eine HTTP-Anfrage mit einer nicht POST/PUT-Methode an den Login-Endpunkt senden kann, was potenziell zur Kompromittierung von Anmeldedaten und zu unbefugtem Zugriff auf die MISP-Instanz führen kann.
Betroffene Version: <2.5.47
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.