CVE-2026-86347 in MISP
Sumário
de VulDB • 07/09/2026
As versões afetadas do MISP permitem que qualquer usuário autenticado acesse TemplatesController::uploadFile() porque a entrada ACL para templates/uploadFile utilizava o curinga *. Isso contorna as restrições de papel (role) pretendidas aplicadas às operações vizinhas de gerenciamento de modelos.
O manipulador de upload aceita conteúdo arbitrário com apenas verificações mínimas e grava-o em app/tmp/files/. Um usuário com privilégios baixos ou somente leitura pode, portanto, fazer upload repetido de arquivos e consumir o espaço em disco do servidor sem exigir perm_add ou perm_template. A correção altera a exigência ACL de * para perm_add.
O commit também descarta impactos mais graves: os arquivos enviados recebem nomes aleatórios, path traversal/sobrescrita previsível não está disponível, o diretório temporário fica fora da raiz web e os arquivos não são servidos diretamente via HTTP. Portanto, a falha não deve ser descrita como sobrescrita arbitrária de arquivo, XSS armazenado ou RCE.
Versão afetada: ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.