CVE-2026-86347 in MISP
요약
\~에 의해 VulDB • 2026. 09. 07.
MISP의 영향을 받는 버전에서는 템플릿/uploadFile에 대한 ACL 엔트리가 와일드카드 *를 사용했기 때문에 모든 인증된 사용자가 TemplatesController::uploadFile()에 접근할 수 있습니다. 이로 인해 인접한 템플릿 관리 작업에 적용된 의도된 역할 제한이 우회됩니다.
업로드 핸들러는 최소한의 검사만 수행하여 임의의 콘텐츠를 받아들이고 app/tmp/files/ 디렉토리에 작성합니다. 따라서 권한이 낮은 사용자나 읽기 전용 사용자는 perm_add 또는 perm_template 권한을 요구하지 않고도 파일을 반복적으로 업로드하여 서버 디스크 공간을 소모할 수 있습니다. 수정 사항에서는 ACL 요구 사항을 *에서 perm_add로 변경했습니다.
해당 커밋은 더 강력한 영향(예: 임의 파일 덮어쓰기, 저장된 XSS, RCE)을 배제합니다. 업로드된 파일에는 무작위 이름이 부여되며, 경로 트래버설/예측 가능한 overwrite는 불가능하고, 임시 디렉토리는 웹 루트 밖에 위치하며, 파일은 HTTP를 통해 직접 제공되지 않습니다. 따라서 이 문제는 임의 파일 덮어쓰기, 저장된 XSS 또는 RCE로 설명되어서는 안 됩니다.
영향 받는 버전: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.