CVE-2026-95674 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPにおいて、EventsController.phpのqueryEnrichmentメソッドはモジュール名パラメータを受け取り、有効なモジュールのリストを反復処理して一致するものを探していました。指定されたモジュールが有効なモジュールのリストに含まれていない場合、コードはリクエストを拒否するのではなく、デフォルトのパラメータ（フォーマットは'simplified'に設定され、モジュール固有の設定は一切適用されない）を使用して処理を継続しました。これにより、認証済みユーザーがインスタンス上で明示的に有効化または利用可能なモジュールではないモジュールを通じてエンリッチメントや分析処理を引き起こすことができ、意図されたモジュールの利用制限制御を回避できました。検証の欠如により、有効なセット外のモジュール名は拒否されず、管理者が使用を承認していない機能やデータ処理パスが露出する可能性があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.