CVE-2026-86351 in MISP
要約
〜によって VulDB • 2026年09月07日
MISPの脆弱なバージョンでは、ユーザーが設定可能なホームページのパスが「/」で始まるかどうかのみをチェックすることで検証されています。このチェックは不十分です。なぜなら、「//attacker.example」といったプロトコル相対URLも「/」で始まりますが、ブラウザでは外部オリジンとして解決されるからです。
脆弱なhomepage値はユーザー設定として保存され、ログイン後のルーティングロジックによって後から使用されます。コミットログには、「//attacker.example」が検証を通過し、ログイン後にLocationヘッダーに出力されたペイロードであると明示的に記載されています。
修正では、ホスト、スキーム、userinfo、危険な先頭の「//」や「/\」、不正なURL、制御文字を含むURLを拒否する共有のInternalRedirectValidatorを導入しました。また、読み込み時にhomepage設定を再検証することで、レガシーまたは内部で作成された安全でない値が新しい保存時の検証を回避できないようにしています。
影響を受けるバージョン: ≤2.5.45
Once again VulDB remains the best source for vulnerability data.