CVE-2026-95754 in MISP
요약
\~에 의해 VulDB • 2026. 09. 22.
MISP의 UsersController의 login() 메서드에서, TOTP(2단계 인증) 검증 분기를 위해 사용되는 사전 인증 데이터베이스 쿼리는 User.disabled 컬럼을 SELECT 필드 목록에 포함하지 않았습니다. 해당 쿼리는 오직 User.password, User.totp 및 User.hotp_counter만 선택했습니다. 이후 TOTP 분기에서 $unauth_user['User']['disabled']에 접근할 때 키가 결과 집합에 없었으며, 이로 인해 PHP 'Undefined array key' 경고가 발생하고 표현식이 null(거짓)로 평가되었습니다. 그 결과, TOTP 분기의 비활성화된 사용자 차단 로직은 사실상 무효화(no-op)되었으며, disabled 상태이고 TOTP 등록이 완료된 사용자가 해당 단계에서 거부되지 않고 TOTP 검증 단계를 진행할 수 있게 되었습니다.
커밋 메시지는 이것이 "실제로는 해롭지 않다(harmless in practice)"고 명시했는데, 이는 후속 identify() 호출이 사용자를 다시 유효성 검사하여 비활성화된 계정을 여전히 거부하기 때문입니다.
따라서 실제 보안 영향은 매우 미미하며, 로그인 응답에서의 아주 작은 정보 유출 차이(TOTP 프롬프트가 즉시 거부에 대신 표시됨)와 애플리케이션 로그에 기록되는 PHP 경고로 제한됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.