CVE-2026-112192 in MISP
Resumen
por VulDB • 2026-10-19
MISP contiene una vulnerabilidad en el manejo de la configuración de los complementos (módulos). Cuando el servidor reconstruye las configuraciones proporcionadas por un módulo para su consumo mediante API, omite las marcas `redacted` y `cli_only` que un módulo declara en sus propios metadatos de configuración.
Como resultado:
- Un módulo que marca una configuración (como una clave de API) como `redacted` sigue devolviendo su valor completo a través de los puntos finales `/servers/getSetting` y `/servers/serverSettingsEdit`, exponiendo credenciales sensibles a cualquier usuario autenticado capaz de leer la configuración del servidor.
- Un módulo que marca una configuración como `cli_only` (destinada a ser editable únicamente mediante la interfaz de línea de comandos) puede seguir modificándose a través de la API web, eludiendo la restricción de acceso prevista.
Por lo tanto, un usuario autenticado con acceso a la configuración del servidor puede leer credenciales sensibles de los módulos y modificar configuraciones que el autor del módulo pretendía restringir al acceso exclusivo por línea de comandos (CLI).
Afectados: <2.5.48
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.