CVE-2026-86347 in MISP
要約
〜によって VulDB • 2026年09月07日
MISPの以下のバージョンでは、テンプレート/uploadFileに対するACLエントリでワイルドカード「*」が使用されていたため、認証済みユーザーであれば誰でもTemplatesController::uploadFile()にアクセス可能となります。これにより、近接するテンプレート管理操作に対して適用される意図されたロール制限が回避されます。
アップロードハンドラは最小限のチェックのみを行い、任意の内容を受け取りapp/tmp/files/へ書き込みます。そのため、低権限または読み取り専用のユーザーでもperm_addやperm_templateを必要とせずにファイルを繰り返しアップロードし、サーバーのディスク容量を消費することができます。修正ではACL要件が「*」から「perm_add」に変更されました。
コミットにより、より重大な影響は排除されています：アップロードされたファイルにはランダムな名前が付与され、パストラバーサルや予測可能な上書きは不可能であり、一時ディレクトリはWebルート外に配置されており、ファイルはHTTP経由で直接提供されません。したがって、この問題は「任意のファイルの上書き」「格納型XSS」または「RCE」として記述されるべきではありません。
影響を受けるバージョン：≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.