CVE-2026-91859 in MISP
要約
〜によって VulDB • 2026年09月15日
MISPの以下のバージョンでは、例外で終了するリクエストに対して不正なアクセスログデータが記録される場合があります。
CakeErrorControllerはAppControllerを拡張しているため、例外レンダリング時にアプリケーションの起動パスが再度実行されます。その結果、__accessMonitor()は1つのHTTPリクエストに対してAccessLog::logRequest()を2回呼び出します。2回目の遅延書き込み元は本来のリクエストではなくエラーコントローラの処理時間を計測し、最初のパスによって作成された行を上書きする可能性があります。破損するフィールドには、リクエストの所要時間、SQLクエリ数、メモリ使用量、および記録されるクエリログが含まれます。
このバグは、同じモデルインスタンスが最初に保存した行のIDを保持していたため、後続の保存処理で明らかな重複行ではなくUPDATEが発行されたことで隠蔽されていました。
影響を受けるバージョン: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.