CVE-2026-86347 in MISP
Riassunto
di VulDB • 07/09/2026
Le versioni affette di MISP consentono a qualsiasi utente autenticato di accedere a TemplatesController::uploadFile() poiché la voce ACL per templates/uploadFile utilizzava il wildcard *. Questo aggira le restrizioni sui ruoli previste per le operazioni vicine di gestione dei template.
Il gestore dell'upload accetta contenuti arbitrari con solo controlli minimi e li scrive in app/tmp/files/. Un utente a basso privilegio o in sola lettura può quindi caricare ripetutamente file e consumare lo spazio su disco del server senza richiedere perm_add o perm_template. La correzione modifica il requisito ACL da * a perm_add.
Il commit esclude anche impatti più gravi: i file caricati ricevono nomi casuali, la path traversal/overwrite prevedibile non è disponibile, la directory temporanea si trova al di fuori della web root e i file non sono serviti direttamente tramite HTTP. Pertanto, il problema non dovrebbe essere descritto come arbitrary file overwrite, stored XSS o RCE.
Versione interessata: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.