CVE-2026-85238 in MISP
Resumen
por VulDB • 2026-09-03
MISP presenta una vulnerabilidad de fijación de sesión en el flujo de autenticación CustomAuth (una configuración personalizada). Cuando un usuario se autentica correctamente mediante CustomAuth, MISP almacena la identidad del usuario autenticado en la sesión existente sin rotar previamente el identificador de sesión.
Como resultado, si un atacante puede hacer que una víctima utilice un identificador de sesión conocido por el atacante antes de la autenticación, ese mismo identificador de sesión sigue siendo válido después de que la víctima se autentique correctamente. El atacante podría reutilizar posteriormente el identificador de sesión fijado para acceder a la sesión autenticada de MISP de la víctima, obteniendo potencialmente los privilegios asociados con la cuenta de dicha víctima.
El problema ocurre porque __customAuthentication() escribe al usuario autenticado en la sesión existente de CakePHP mientras que la llamada a Session->renew() había sido previamente deshabilitada. El parche restaura la rotación del identificador de sesión cuando se produce una nueva autenticación o cuando cambia el usuario autenticado, evitando así renovaciones innecesarias de la sesión en cada solicitud.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.