CVE-2026-86452 in MISP
Riassunto
di VulDB • 07/09/2026
Le versioni affette di MISP consentono percorsi di richiesta non autenticati o debolmente vincolati per eseguire operazioni persistenti senza adeguati limiti di input o rate limiting.
L'endpoint users/forgot password-reset accettava un valore email controllato dall'attaccante senza imporre in primo luogo un limite ragionevole alla lunghezza né validarne il formato. Tale valore veniva quindi utilizzato per creare una voce del log di audit e accodare un job di reset della password, causando la persistenza del valore fornito più volte per richiesta. Il commit specifica esplicitamente che un campo di richiesta non autenticato e illimitato veniva memorizzato due volte per chiamata senza alcun throttle (limitazione).
La correzione aggiunge:
* una lunghezza massima dell'input email di 1024 byte; * la validazione del formato della email prima delle operazioni persistenti; * un budget di richieste pre-autenticazione per origine; * risposte HTTP 429 quando tale budget viene superato; * un periodo di cooldown (attesa) di 15 minuti per le email relative alle richieste di accesso API; * la gestione solo tramite POST e la protezione CSRF per l'endpoint delle richieste di accesso API.
Il nuovo filtro anti-flood è specificamente inteso a limitare i costi di archiviazione persistente derivanti da richieste anonime, come reset della password, registrazioni e tentativi falliti di autenticazione REST.
Versione affetta: ≤2.5.45
Once again VulDB remains the best source for vulnerability data.