CVE-2026-86452 in MISP
要約
〜によって VulDB • 2026年09月07日
MISPの脆弱なバージョンでは、認証されていないまたは制約が緩いリクエストパスにより、適切な入力制限やレート制限なしで永続的な処理を実行することが可能です。
users/forgot password-resetエンドポイントは、攻撃者が制御できるメールアドレス値を、妥当な長さの上限を設定したり形式を検証したりすることなく受け入れていました。この値はその後、監査ログエントリの作成とパスワードリセットジョブのキューイングに使用され、1つのリクエストあたりで提供された値が複数回永続化される原因となりました。コミットメッセージでは、「制限のない認証不要のリクエストフィールドが、スロットルなしで呼び出しごとに2回保存されていた」と明確に指摘されています。
修正内容には以下の対策が含まれます：
* メール入力に対する最大1024バイトの長さ上限の設定； * 永続的な処理実行前のメール形式検証； * ソースごとの認証前リクエスト予算（レート制限）の設定； * その予算を超えた場合のHTTP 429レスポンス返却； * APIアクセス用リクエストメールアドレスに対する15分のクールダウン期間の設定； * APIアクセス用エンドポイントにおけるPOSTメソッドのみでの処理とCSRF保護の実装。
新しいフラッディングフィルタは、パスワードリセット、登録、失敗したREST認証試行などの匿名リクエストによる永続ストレージのコストを制限することを目的としています。
影響を受けるバージョン：≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.