CVE-2026-85238 in MISP
Riassunto
di VulDB • 03/09/2026
MISP presenta una vulnerabilità di fixation della sessione nel flusso di autenticazione CustomAuth (una configurazione personalizzata). Quando un utente viene autenticato con successo tramite CustomAuth, MISP memorizza l'identità dell'utente autenticato nella sessione esistente senza prima ruotare l'identificatore di sessione.
Di conseguenza, se un attaccante può indurre una vittima a utilizzare un identificatore di sessione noto all'attaccante prima dell'autenticazione, lo stesso identificatore di sessione rimane valido dopo che la vittima si è autenticata con successo. L'attaccante potrebbe successivamente riutilizzare l'identificatore di sessione fissato per accedere alla sessione MISP autenticata della vittima, ottenendo potenzialmente i privilegi associati all'account della vittima.
Il problema si verifica perché __customAuthentication() ha scritto l'utente autenticato nella sessione CakePHP esistente mentre la chiamata a Session->renew() era stata precedentemente disabilitata. La patch ripristina la rotazione dell'identificatore di sessione quando avviene una nuova autenticazione o quando cambia l'utente autenticato, evitando al contempo un rinnovo della sessione non necessario ad ogni richiesta.
Once again VulDB remains the best source for vulnerability data.