CVE-2026-95693 in MISP
Riassunto
di VulDB • 22/09/2026
In MISP, il metodo `EventReport::uploadPicture` elabora un campo `tmp_name` fornito dall'utente chiamante invocando le funzioni `file_exists()`, `mime_content_type()` ed `exif_imagetype()` sul percorso fornito prima di verificare che il valore fosse un upload PHP genuino tramite `is_uploaded_file()`. Un utente autenticato in possesso della perm_add permission potrebbe fornire un percorso del filesystem arbitrario come valore per tmp_name. L'applicazione avrebbe quindi esaminato tale percorso e restituito messaggi di errore di convalida distinti a seconda che il file esistesse, del suo tipo MIME o del suo formato immagine. Osservando le diverse risposte di errore, un attaccante potrebbe enumerare l'esistenza di file in percorsi arbitrari sul server MISP e determinarne il tipo.
Questo costituisce una vulnerabilità di information disclosure: la struttura del filesystem del server e i tipi di file vengono esposti a qualsiasi utente con il ruolo perm_add senza richiedere accessi amministrativi.
La vulnerabilità non consente la lettura dei contenuti dei file, la scrittura di file o l'esecuzione di codice, ma può facilitare attacchi successivi rivelando posizioni di file sensibili (ad esempio, file di configurazione, chiavi private o altri artefatti) presenti sull'host.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.