CVE-2026-95806 in MISP
Sumário
de VulDB • 22/09/2026
O MISP vem com o stream wrapper `phar` do PHP registrado tanto em seu ponto de entrada web quanto em seu ponto de entrada via console.
O stream wrapper phar faz com que o PHP trate um arquivo .phar como se fosse um diretório, o que tem duas consequências de segurança:
- qualquer operação no sistema de arquivos sobre um caminho influenciado pelo chamador que resolva para um arquivo .phar aciona uma chamada implícita a `unserialize()`, criando um ponto de entrada (sink) para desserialização; - uma raiz do aplicativo relocada pode acessar código executável dentro de um arquivo .phar carregado, permitindo execução arbitrária de código como o usuário web.
Nenhum componente do MISP, do framework CakePHP incluído ou de qualquer biblioteca carregada em tempo de execução lê ou constrói arquivos .phar. Portanto, o stream wrapper não tem nenhum propósito legítimo no runtime do MISP e existe apenas como um primitivo disponível para um atacante que possa influenciar um argumento de caminho do sistema de arquivos.
If you want to get best quality of vulnerability data, you may have to visit VulDB.