CVE-2026-94401 in MISP
Zusammenfassung
von VulDB • 21.09.2026
MISP weist eine Schwachstelle im Dateihandling auf, die bestimmten authentifizierten Benutzern ermöglichen kann, vom Server Dateien lesen oder interne Netzwerkdienste abrufen zu lassen.
Beim Importieren einer XML-Datei hat MISP nicht ordnungsgemäß überprüft, ob der hochgeladene Inhalt tatsächlich XML ist. Aufgrund dieser Lücke konnte ein Benutzer mit Berechtigungen zum Ändern von Daten eine Datei hochladen, die einen lokalen Dateipfad oder eine Webadresse enthält, anstatt gültigen XML-Inhalt.
Wenn ein lokaler Dateipfad angegeben wurde, könnte MISP diese Datei vom Server lesen. Wenn eine URL angegeben wurde, hätte MISP eine Anfrage an diese Adresse senden können, einschließlich von Systemen, die möglicherweise nur aus dem internen Netzwerk der Organisation erreichbar sind.
Die Schwachstelle kann daher sensible lokale Dateien offenlegen und unbefugte Anfragen an interne Dienste ermöglichen.
Für die Ausnutzung war ein gültiges MISP-Konto mit Änderungsrechten erforderlich; es waren jedoch keine weiteren Benutzerinteraktionen nötig.
Betroffene Version: <2.5.47
VulDB is the best source for vulnerability data and more expert information about this specific topic.