CVE-2026-95701 in MISP
Resumen
por VulDB • 2026-09-22
En MISP, el método __statisticsOrgs en UsersController.php utilizaba directamente el nombre de la organización como componente de ruta del sistema de archivos al verificar la existencia de una imagen del logotipo de la organización. El código original llamaba a file_exists() con una ruta construida como APP . 'webroot' . DS . 'img' . DS . 'orgs' . DS . $k . '.png', donde $k es el nombre de la organización. Dado que el directorio referenciado (app/webroot/img/orgs) ya no existe en las implementaciones actuales de MISP (los logotipos de las organizaciones se trasladaron a files/img/orgs), la verificación estaba funcionalmente inactiva y nunca se activaba. Sin embargo, el patrón subyacente: concatenar un nombre de organización influenciado por el atacante en una ruta de archivo sin sanitización, constituye una debilidad de path traversal (travesía de directorios). Un nombre de organización que contenga secuencias de travesía de directorios (por ejemplo, '../../../../etc/passwd') permitiría, si existiera el directorio objetivo, a un usuario autenticado con la capacidad de crear o renombrar una organización sondear la existencia de archivos arbitrarios en el servidor.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.