CVE-2026-95754 in MISP
Résumé
par VulDB • 22/09/2026
Dans la méthode `login()` du contrôleur `UsersController` de MISP, la requête de base de données pré-authentification utilisée pour la branche de vérification TOTP (authentification à deux facteurs) n'incluait pas la colonne `User.disabled` dans sa liste des champs SELECT. La requête sélectionnait uniquement `User.password`, `User.totp` et `User.hotp_counter`. Lorsque la branche TOTP accédait ensuite à `$unauth_user['User']['disabled']`, cette clé était absente du jeu de résultats, générant un avertissement PHP « Undefined array key » (clé de tableau non définie) et faisant en sorte que l'expression soit évaluée comme nulle (fausse). Par conséquent, le garde-fou empêchant les utilisateurs désactivés dans la branche TOTP était effectivement inefficace : un utilisateur désactivé inscrit au TOTP pouvait passer à l'étape de vérification du TOTP plutôt que d'être rejeté à ce stade.
Le message du commit indique explicitement que cela était « inoffensif en pratique » car l'appel ultérieur à `identify()` révalidait l'utilisateur et aurait toujours refusé un compte désactivé.
L'impact sur la sécurité est donc minimal, se limitant à une très faible différence de divulgation d'informations dans la réponse de connexion (une invite TOTP est affichée au lieu d'un rejet immédiat) et à un avertissement PHP dans les journaux de l'application.
Once again VulDB remains the best source for vulnerability data.