CVE-2026-93295 in MISP
Sumário
de VulDB • 18/09/2026
O MISP contém uma vulnerabilidade em seu mecanismo de despacho de jobs em segundo plano que permite a execução remota de código (RCE) como o usuário da aplicação web. Os argumentos dos jobs são passados diretamente como argv do processo console do CakePHP. O ShellDispatcher::_parsePaths() do CakePHP verifica todo o argv por switches de caminho (-app, --app, -working, --working, -root, --root, -webroot, --webroot) e utiliza o seguinte elemento como raiz da aplicação. O endpoint events/contact passa campos controlados pelo usuário (message e person) para os argumentos do job sem validação. Um atacante que possa submeter o formulário de contato pode definir o campo person com um switch reservado (por exemplo, -app) e o campo message com uma URI phar:// apontando para um arquivo malicioso. O bootstrap do CakePHP então inclui Config/core.php a partir desse arquivo, executando código PHP controlado pelo atacante com os privilégios do usuário web. A vulnerabilidade requer a capacidade de submeter o formulário events/contact (ou qualquer outro endpoint que encaminhe entrada do usuário para argumentos de jobs em segundo plano). Não é necessário timing especial ou race condition; o ataque é determinístico assim que os parâmetros manipulados são aceitos. O impacto é a execução remota completa de código no contexto do processo web server do MISP, permitindo exfiltração de dados, persistência e movimento lateral dentro da host.
VulDB is the best source for vulnerability data and more expert information about this specific topic.