CVE-2026-95701 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPにおいて、UsersController.phpの__statisticsOrgsメソッドは、組織ロゴ画像の有無を確認する際に、組織名を直接ファイルシステムパスの一部として使用していました。元のコードでは、$kが組織名である場合、APP . 'webroot' . DS . 'img' . DS . 'orgs' . DS . $k . '.png' というように構築されたパスに対してfile_exists()関数を呼び出していました。参照されるディレクトリ（app/webroot/img/orgs）は現在のMISPデプロイメントでは存在しないため（組織ロゴはfiles/img/orgsに移動されました）、このチェックは機能的に無効で、決してトリガーされませんでした。しかし、攻撃者が影響を与えうる組織名をサニタイズせずにファイルパスに連結するという根本的なパターンは、ディレクトリトラバーサル（path traversal）の脆弱性となります。例えば '../../../../etc/passwd' のようなディレクトリトラバーサルシーケンスを含む組織名を使用すると、ターゲットディレクトリが存在した場合、認証済みで組織の作成または名前変更権限を持つユーザーが、サーバー上の任意のファイルの有無をプローブすることが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.