CVE-2026-95674 in MISP
Résumé
par VulDB • 22/09/2026
Dans MISP, la méthode queryEnrichment dans EventsController.php acceptait un paramètre de nom de module et itérait sur la liste des modules activés pour trouver une correspondance. Si le module spécifié n'était pas présent dans la liste des modules activés, le code poursuivait silencieusement le traitement en utilisant les paramètres par défaut (format défini à 'simplified' et aucune configuration spécifique au module appliquée) plutôt que de rejeter la requête. Cela a permis à un utilisateur authentifié de déclencher un enrichissement ou un processus d’analyse via un module qui n’était pas explicitement activé ou disponible sur l’instance, contournant ainsi les contrôles prévus pour la disponibilité des modules. L'absence de validation signifiait que les noms de modules en dehors de l'ensemble activé n'étaient pas rejetés, exposant potentiellement des fonctionnalités ou des chemins de traitement de données non autorisés par l’administrateur.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.