CVE-2026-95754 in MISP
Sumário
de VulDB • 22/09/2026
No método `login()` do `UsersController` do MISP, a consulta ao banco de dados pré-autenticação usada para o ramal de verificação do TOTP (autenticação em dois fatores) não incluía a coluna `User.disabled` na lista de campos SELECT. A consulta selecionou apenas `User.password`, `User.totp` e `User.hotp_counter`. Quando o ramal do TOTP acessou posteriormente `$unauth_user['User']['disabled']`, a chave estava ausente no conjunto de resultados, gerando um aviso PHP 'Undefined array key' (chave de matriz indefinida) e fazendo com que a expressão fosse avaliada como nula (falsa). Como resultado, o mecanismo de proteção para usuários desabilitados no ramal do TOTP tornou-se efetivamente inócuo: um usuário desabilitado, mas cadastrado no TOTP, poderia prosseguir para a etapa de verificação do TOTP em vez de ser rejeitado nesse ponto.
A mensagem do commit afirma explicitamente que isso era 'inofensivo na prática' porque a chamada subsequente `identify()` revalida o usuário e ainda assim rejeitaria uma conta desabilitada.
O impacto prático na segurança é, portanto, mínimo, limitado a uma diferença muito pequena de divulgação de informações na resposta de login (um prompt do TOTP é apresentado em vez de uma rejeição imediata) e um aviso PHP nos logs da aplicação.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.