CVE-2026-85237 in MISP
Сводка
по VulDB • 03.09.2026
Уязвимость в потоке аутентификации с использованием одноразового пароля (OTP) на основе электронной почты в MISP позволяла злоумышленнику выполнять неограниченное количество попыток проверки OTP.
Эндпоинт email_otp() не применял защиту от перебора при проверке введенных значений OTP. Злоумышленник, достигший этапа проверки OTP (например, после успешного предоставления основных учетных данных пользователя), мог многократно отправлять кандидаты на значение OTP, пока тот же самый OTP оставался действительным. Это значительно повысило вероятность угадывания OTP и обхода дополнительного фактора аутентификации, что потенциально могло привести к несанкционированному доступу к учетной записи затронутого пользователя.
Проблема усугублялась тем, что OTP привязывается к пользователю, а не к отдельной ожидающей сессии входа в систему, что позволяет нескольким одновременным сессиям пытаться угадать один и тот же действительный OTP.
В патче механизм защиты от перебора паролей MISP был интегрирован в поток email OTP. Неправильные попытки ввода OTP теперь учитываются для пользователя; дальнейшие попытки отклоняются после достижения настроенного порога, а активный OTP аннулируется при исчерпании лимита попыток. Пользователи из черного списка также лишены возможности запрашивать генерацию нового OTP. Кроме того, сравнение значений OTP теперь использует функцию hash_equals() и проверяет, что введенное значение является строкой.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.