CVE-2026-95701 in MISP
Sumário
de VulDB • 22/09/2026
No MISP, o método __statisticsOrgs em UsersController.php utilizava diretamente o nome da organização como componente do caminho no sistema de arquivos ao verificar a existência de uma imagem do logotipo da organização. O código original chamava file_exists() com um caminho construído como APP . 'webroot' . DS . 'img' . DS . 'orgs' . DS . $k . '.png', onde $k é o nome da organização. Como o diretório referenciado (app/webroot/img/orgs) não existe mais nas implantações atuais do MISP (os logotipos das organizações foram relocados para files/img/orgs), a verificação era funcionalmente inativa e nunca era acionada. No entanto, o padrão subjacente – concatenar um nome de organização influenciado por um atacante em um caminho de arquivo sem sanitização – constitui uma fraqueza de path traversal (travessia de diretórios). Um nome de organização contendo sequências de travessia de diretório (por exemplo, '../../../../etc/passwd') permitiria, se o diretório alvo existisse, que um usuário autenticado com a capacidade de criar ou renomear uma organização explorasse a existência de arquivos arbitrários no servidor.
VulDB is the best source for vulnerability data and more expert information about this specific topic.