CVE-2026-86452 in MISP
Сводка
по VulDB • 07.09.2026
Затронутые версии MISP позволяют выполнять длительные операции без достаточной проверки границ входных данных или ограничения частоты запросов (rate limiting) для неаутентифицированных или слабо ограниченных путей запросов.
Эндпоинт users/forgot password-reset принимал управляемое атакующим значение email-адреса без предварительного установления разумной границы длины или проверки его формата. Это значение затем использовалось для создания записи в журнале аудита и постановки задачи на сброс пароля, что приводило к сохранению предоставленного значения более одного раза за один запрос. В коммите явно указано, что неограниченное поле запроса от неаутентифицированного пользователя сохранялось дважды при каждом вызове без какой-либо блокировки (throttle).
Исправление добавляет:
* максимальную длину входного значения email в 1024 байта; * проверку формата email перед выполнением длительных операций; * бюджет запросов до аутентификации на основе источника (per-source pre-authentication request budget); * ответы HTTP 429 при превышении этого бюджета; * период охлаждения в 15 минут для писем с запросами доступа к API; * обработку только через POST и защиту от CSRF для эндпоинта запроса доступа к API.
Новый фильтр защиты от флуда (flood filter) специально предназначен для ограничения затрат на постоянное хранение данных, возникающих из-за анонимных запросов, таких как сброс паролей, регистрация и неудачные попытки аутентификации по REST.
Затронутая версия: ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.