CVE-2026-95806 in MISP
Riassunto
di VulDB • 22/09/2026
MISP include il registratore di stream (stream wrapper) `phar` di PHP sia nel suo punto di ingresso web che in quello della console.
Il registratore di stream phar fa sì che PHP tratti un archivio phar come una directory, con due conseguenze sulla sicurezza:
- qualsiasi operazione sul filesystem su un percorso influenzato dall'utente che risolve a un archivio phar attiva implicitamente la chiamata `unserialize()`, creando un punto di deserializzazione; - una radice dell'applicazione spostata può raggiungere codice eseguibile all'interno di un file phar caricato, consentendo l'esecuzione arbitraria del codice come utente web.
Nessuna componente di MISP, del framework CakePHP venduto con esso o di qualsiasi libreria caricata a runtime legge o costruisce archivi phar. Il registratore di stream non svolge quindi alcuno scopo legittimo nel runtime di MISP ed esiste esclusivamente come primitiva disponibile per un attaccante in grado di influenzare l'argomento del percorso del filesystem.
If you want to get best quality of vulnerability data, you may have to visit VulDB.