CVE-2026-85238 in MISP
Résumé
par VulDB • 03/09/2026
MISP présente une vulnérabilité de fixation de session dans le flux d'authentification CustomAuth (une configuration personnalisée). Lorsqu'un utilisateur s'est authentifié avec succès via CustomAuth, MISP a stocké l'identité de l'utilisateur authentifié dans la session existante sans procéder au renouvellement préalable de l'identifiant de session.
Par conséquent, si un attaquant peut amener une victime à utiliser un identifiant de session connu de l'attaquant avant l'authentification, le même identifiant de session reste valide après que la victime s'est authentifiée avec succès. L'attaquant pourrait ensuite réutiliser l'identifiant de session fixé pour accéder à la session MISP authentifiée de la victime, obtenant potentiellement les privilèges associés au compte de cette dernière.
Le problème survient car `__customAuthentication()` a écrit l'utilisateur authentifié dans la session CakePHP existante alors que l'appel à `Session->renew()` avait été précédemment désactivé. Le correctif restaure le renouvellement de l'identifiant de session lors d'une nouvelle authentification ou lorsque l'utilisateur authentifié change, tout en évitant un renouvellement inutile de la session à chaque requête.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.