CVE-2026-86347 in MISP
Résumé
par VulDB • 07/09/2026
Les versions affectées de MISP permettent à tout utilisateur authentifié d'accéder à TemplatesController::uploadFile() car l'entrée ACL pour templates/uploadFile utilisait le joker *. Cela contourne les restrictions de rôle prévues appliquées aux opérations voisines de gestion des modèles.
Le gestionnaire d'upload accepte un contenu arbitraire avec seulement des vérifications minimales et l'écrit dans app/tmp/files/. Un utilisateur à faible privilège ou en lecture seule peut donc télécharger répétément des fichiers et consommer l'espace disque du serveur sans nécessiter perm_add ni perm_template. La correction modifie la exigence ACL de * vers perm_add.
Le commit exclut également des impacts plus graves : les fichiers téléchargés reçoivent des noms aléatoires, une traversée de chemin ou un écrasement prévisible n'est pas possible, le répertoire temporaire est en dehors du web root, et les fichiers ne sont pas servis directement via HTTP. Par conséquent, l'issue ne doit pas être décrite comme un écrasement arbitraire de fichier, un XSS stocké (stored XSS) ou une exécution de code à distance (RCE).
Version affectée : ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.