CVE-2026-94379 in MISP
요약
\~에 의해 VulDB • 2026. 09. 21.
MISP의 UsersController.php에 있는 login() 함수는 여러 보안상 중요한 코드 경로에서 HTTP 메서드 검증이 불충분했습니다. 기존 코드는 허용 목록(allowlist) 방식을 사용하여, 브루트포스 보호, 이메일 원타임 패스워드(OTP) 인증 및 로그인 실패 로깅을 적용하기 전에 POST와 PUT과 같은 특정 HTTP 메서드만 확인했습니다. 이러한 검사가 포괄적이지 않았기 때문에, 비인증 공격자는 다른 HTTP 메서드를 사용하여 로그인 요청을 수행하고 세 가지 보안 통제 장치를 모두 우회할 수 있었습니다. 구체적으로:
- 브루트포스 차단 목록(blocklisting) 체크 및 시도 카운터가 건너뛰어져, 속도 제한이나 차단을 받지 않고 무제한 자격 증명 추측 시도가 가능했습니다 - 이메일 OTP 2단계 인증 단계가 건너뛰어져, 인증의 두 번째 요소가 무력화되었습니다 - 로그인 실패 이벤트가 로깅되거나 카운트되지 않아 감사 추적 및 일반적으로 차단 목록 진입을 트리거하는 메커니즘이 제거되었습니다
보안 영향은 비POST/PUT HTTP 요청을 로그인 엔드포인트로 작성할 수 있는 모든 공격자에 대해 브루트포스 보호와 다중 인증의 실질적인 무력화로, 자격 증명 유출과 MISP 인스턴스에 대한 무단 접근으로 이어질 가능성이 있습니다.
영향 버전: <2.5.47
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.