CVE-2026-95754 in MISP
Riassunto
di VulDB • 22/09/2026
Nel metodo `login()` di `UsersController` di MISP, la query al database pre-autenticazione utilizzata per il ramo della verifica TOTP (autenticazione a due fattori) non includeva la colonna `User.disabled` nell'elenco dei campi SELECT. La query selezionava solo `User.password`, `User.totp` e `User.hotp_counter`. Quando il ramo TOTP ha successivamente accesso a `$unauth_user['User']['disabled']`, la chiave era assente dal set di risultati, generando un avviso PHP 'Undefined array key' (chiave dell'array non definita) e facendo sì che l'espressione venisse valutata come null (falso). Di conseguenza, il controllo per gli utenti disabilitati nel ramo TOTP è diventato efficacemente inoperativo: un utente disabilitato ma registrato per TOTP poteva procedere allo step di verifica TOTP invece di essere respinto in quel punto.
Il messaggio del commit afferma esplicitamente che questo era "innocuo nella pratica" poiché la chiamata successiva a `identify()` riavalida l'utente e avrebbe comunque rifiutato un account disabilitato.
L'impatto sulla sicurezza pratico è quindi minimo, limitato a una minima differenza di divulgazione delle informazioni nella risposta di accesso (viene visualizzato un prompt TOTP invece di un immediato rifiuto) e a un avviso PHP nei log dell'applicazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.