CVE-2026-93295 in MISP
요약
\~에 의해 VulDB • 2026. 09. 17.
MISP에는 웹 사용자 권한으로 원격 코드 실행(RCE)을 허용하는 백그라운드 작업 디스패치 메커니즘의 취약점이 존재합니다. 백그라운드 작업 인수는 CakePHP 콘솔 프로세스의 argv로 직접 전달됩니다. CakePHP의 ShellDispatcher::_parsePaths()는 전체 argv에서 경로 스위치(-app, --app, -working, --working, -root, --root, -webroot, --webroot)를 스캔하고 해당 요소 중 하나를 애플리케이션 루트로 사용합니다. events/contact 엔드포인트는 검증 없이 사용자 제어 필드(message 및 person)를 작업 인수로 전달합니다. 연락처 양식을 제출할 수 있는 공격자는 person 필드를 예약된 스위치(예: -app)로, message 필드를 악성 아카이브를 가리키는 phar:// URI로 설정할 수 있습니다. 그러면 CakePHP 부트스트랩이 해당 아카이브 내부에서 Config/core.php를 포함하여 웹 사용자 권한으로 공격자가 제어하는 PHP 코드를 실행합니다. 이 취약점은 events/contact 양식(또는 사용자 입력을 백그라운드 작업 인수로 전달하는 기타 모든 엔드포인트) 제출 능력이 필요합니다. 특별한 타이밍이나 Race Condition은 필요하지 않으며, 조작된 매개변수가 수락되면 공격은 결정론적으로 수행됩니다. 영향력은 MISP 웹 서버 프로세스 컨텍스트에서의 완전한 원격 코드 실행으로, 호스트 내에서 데이터 유출, 영구화(Persistence) 및 횡단 이동(Lateral Movement)을 가능하게 합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.