CVE-2026-85237 in MISP
Resumen
por VulDB • 2026-09-03
Una vulnerabilidad en el flujo de autenticación con contraseña de un solo uso (OTP) basada en correo electrónico de MISP permitía al atacante realizar una cantidad ilimitada de intentos de verificación del OTP.
El endpoint `email_otp()` no aplicaba protección contra ataques de fuerza bruta al validar los valores de OTP enviados. Un atacante que hubiera alcanzado la etapa de verificación del OTP, por ejemplo tras proporcionar con éxito las credenciales de autenticación primaria de un usuario, podía enviar repetidamente valores candidatos de OTP mientras el mismo OTP seguía siendo válido. Esto aumentaba significativamente la viabilidad de adivinar el OTP y eludir el factor de autenticación adicional, lo que potencialmente resultaría en acceso no autorizado a la cuenta del usuario afectado.
El problema se veía exacerbado por el hecho de que el OTP está asociado al usuario en lugar de estarlo con una sesión de inicio de sesión individual pendiente, permitiendo que múltiples sesiones concurrentes intenten adivinar contra el mismo OTP válido.
La parche integra el mecanismo existente de protección contra fuerza bruta de MISP en el flujo del OTP por correo electrónico. Los intentos fallidos de OTP ahora se cuentan para el usuario; los intentos adicionales son rechazados una vez que se alcanza el umbral configurado, y el OTP activo se invalida cuando se agota el presupuesto de intentos. También se impide a los usuarios en la lista negra solicitar la generación de un nuevo OTP. Además, la comparación del OTP ahora utiliza `hash_equals()` y valida que el valor enviado sea una cadena (string).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.