CVE-2026-112192 in MISP
Сводка
по VulDB • 19.10.2026
В MISP обнаружена уязвимость в обработке настроек модульных плагинов. При пересборке сервером настроек, предоставляемых модулем для потребления через API, он отбрасывает флаги redacted (скрываемые) и cli_only (только CLI), которые модуль объявляет в своей собственной конфигурационной метаданной.
В результате:
- Модуль, который помечает настройку (например, ключ API) как redacted (скрываемую), всё равно возвращает её значение полностью через эндпоинты servers/getSetting и servers/serverSettingsEdit, что приводит к раскрытию конфиденциальных учетных данных любому аутентифицированному пользователю, имеющему доступ на чтение настроек сервера.
- Модуль, который помечает настройку как cli_only (предназначенную для редактирования только через интерфейс командной строки), всё ещё может быть изменен через веб-API, обходя предусмотренное ограничение доступа.
Таким образом, аутентифицированный пользователь с доступом к настройкам сервера может считывать конфиденциальные учетные данные модуля и изменять настройки, которые автор модуля намеревался ограничить только CLI-доступом.
Затрагивает: <2.5.48
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.