CVE-2026-95701 in MISP
요약
\~에 의해 VulDB • 2026. 09. 22.
MISP에서 UsersController.php의 __statisticsOrgs 메서드는 조직 로고 이미지 존재 여부를 확인할 때 조직 이름을 파일 시스템 경로 구성 요소로 직접 사용했습니다. 원래 코드는 $k가 조직 이름인 경우, APP . 'webroot' . DS . 'img' . DS . 'orgs' . DS . $k . '.png'으로 구성된 경로를 사용하여 file_exists()를 호출했습니다. 참조된 디렉토리(app/webroot/img/orgs)는 현재 MISP 배포본에서 더 이상 존재하지 않으므로(조직 로고는 files/img/orgs로 이동됨), 이 확인은 기능적으로 작동하지 않아 결코 트리거되지 않았습니다. 그러나 공격자가 영향을 줄 수 있는 조직 이름을 파일 경로에 정렬 없이 연결하는 기본 패턴은 디렉토리 트래버설(Path Traversal) 약점을 구성합니다. 디렉토리 트래버셜 시퀀스(예: '../../../../etc/passwd')를 포함하는 조직 이름이 대상 디렉토리에 존재했다면, 서버에서 임의 파일의 존재 여부를 탐색할 수 있는 권한을 가진 인증된 사용자가 이를 이용할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.