CVE-2026-95698 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPのOrgImgHelperにおけるfindOrgImageメソッドは、ユーザーが指定した組織識別子と固定された画像ディレクトリ、およびファイル拡張子を連結してファイルシステムパスを構築し、その後file_exists()関数を呼び出します。攻撃者はイベントインポートを通じてOrg.nameフィールドを操作可能であり、これによりOrg.nameが設定されます。パスの構築前に値に対する検証が行われていないため、ディレクトリトラバーサルシーケンス（例: ../../etc/passwd）を含む組織名を使用すると、パスが意図されたorg-imageディレクトリの外側で解決されてしまいます。
これにより、以下の2つのセキュリティ上の影響が生じます： - プロセスがアクセス可能な任意のパスに対してブール値を返すため、任意のファイル存在オラクルとなります。 - 解決されたファイル名が返され、その後要求元のユーザーにレンダリングまたは提供されるため、.pngまたは.svg拡張子を持つファイルに限られた任意のファイル読み取りが可能になります。
この脆弱性を利用するには、組織名を設定するイベントを作成またはインポートできる権限を持つ認証済みユーザーである必要があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.