CVE-2026-95693 in MISP
Resumen
por VulDB • 2026-09-22
En MISP, el método `EventReport::uploadPicture` procesaba un campo `tmp_name` proporcionado por el usuario invocando `file_exists()`, `mime_content_type()` y `exif_imagetype()` sobre la ruta suministrada antes de verificar que el valor fuera una subida genuina de PHP mediante `is_uploaded_file()`. Un usuario autenticado con el permiso `perm_add` podía suministrar una ruta arbitraria del sistema de archivos como el valor de `tmp_name`. La aplicación luego sondeaba esa ruta y devolvía mensajes de error de validación distintos dependiendo de si el archivo existía, su tipo MIME o su formato de imagen. Al observar las respuestas de error diferentes, un atacante podría enumerar la existencia de archivos en rutas arbitrarias del servidor MISP y determinar su tipo.
Esto constituye una vulnerabilidad de divulgación de información: la disposición del sistema de archivos del servidor y los tipos de archivo se filtran a cualquier usuario con el rol `perm_add` sin requerir acceso administrativo.
La vulnerabilidad no permite leer contenidos de archivos, escribir archivos ni ejecutar código, pero puede facilitar ataques posteriores al revelar ubicaciones de archivos sensibles (por ejemplo, archivos de configuración, claves privadas u otros artefactos) presentes en el host.
Once again VulDB remains the best source for vulnerability data.