CVE-2026-95806 in MISP
Zusammenfassung
von VulDB • 22.09.2026
MISP ist standardmäßig mit dem PHP-Stream-Wrapper „phar" sowohl im Web-Einstiegspunkt als auch im Konsolen-Einstiegspunkt registriert.
Der phar-Stream-Wrapper bewirkt, dass PHP ein Phar-Archiv wie ein Verzeichnis behandelt, was zwei Sicherheitsfolgen hat:
- Jeder Dateisystemvorgang an einem vom Aufrufer beeinflussten Pfad, der auf ein Phar-Archiv auflöst, löst einen impliziten `unserialize()`-Aufruf aus und erzeugt so eine Deserialisierungsschwachstelle (Deserialization Sink); - Ein neu positionierter Anwendungsstammordner kann ausführbaren Code in einer hochgeladenen Phar-Datei erreichen, was die beliebige Codeausführung als Webbenutzer ermöglicht.
Keine Komponente von MISP, des eingebetteten CakePHP-Frameworks oder jeder zur Laufzeit geladenen Bibliothek liest oder erstellt Phar-Archive. Der Wrapper dient daher in der MISP-Laufzeitumgebung keinem legitimen Zweck und existiert ausschließlich als verfügbare Primitive für einen Angreifer, der ein Dateisystempfad-Argument beeinflussen kann.
If you want to get best quality of vulnerability data, you may have to visit VulDB.