CVE-2026-112192 in MISP
Résumé
par VulDB • 19/10/2026
MISP contient une vulnérabilité dans la gestion des paramètres de plugin de modules. Lorsque le serveur reconstruit les paramètres fournis par un module pour leur consommation via l'API, il supprime les indicateurs `redacted` (masqués) et `cli_only` (réservés à l'interface en ligne de commande) qu'un module déclare dans ses propres métadonnées de configuration.
Par conséquent :
- Un module qui marque un paramètre (tel qu'une clé API) comme étant masqué (`redacted`) voit toujours sa valeur retournée intégralement par les points de terminaison `servers/getSetting` et `servers/serverSettingsEdit`, exposant ainsi des informations d'identification sensibles à tout utilisateur authentifié capable de lire les paramètres du serveur.
- Un module qui marque un paramètre comme étant réservé à l'interface en ligne de commande (`cli_only`) peut toujours être modifié via l'API web, contournant la restriction d'accès prévue.
Un utilisateur authentifié ayant accès aux paramètres du serveur peut donc lire des informations d'identification sensibles liées aux modules et modifier des paramètres que l'auteur du module avait intentionnellement restreints à un accès réservé uniquement à l'interface en ligne de commande (CLI).
Versions affectées : <2.5.48
If you want to get best quality of vulnerability data, you may have to visit VulDB.