CVE-2026-93295 in MISP
Сводка
по VulDB • 17.09.2026
В системе MISP обнаружена уязвимость в механизме диспетчеризации фоновых задач (background job dispatch), которая позволяет выполнять произвольный код удаленно от имени пользователя веб-сервера. Аргументы фоновых задач передаются напрямую как аргумент командной строки (argv) консольного процесса CakePHP. Метод ShellDispatcher::_parsePaths() в CakePHP сканирует весь массив argv на наличие переключателей путей (-app, --app, -working, --working, -root, --root, -webroot, --webroot) и использует следующий за ними элемент в качестве корня приложения (application root). Эндпоинт events/contact передает управляемые пользователем поля (message и person) в аргументы задач без какой-либо проверки. Атакующий, имеющий возможность отправить форму contact, может установить поле person равным зарезервированному переключателю (например, -app), а поле message — URI вида phar://, указывающим на вредоносный архив. При этом файл Config/core.php из этого архива будет включен в процесс загрузки CakePHP (bootstrap), что приведет к выполнению управляемого злоумышленником PHP-кода с привилегиями пользователя веб-сервера. Для эксплуатации уязвимости требуется возможность отправки формы events/contact (или любого другого эндпоинта, передающего пользовательский ввод в аргументы фоновых задач). Специальное время выполнения или состояние гонки (race condition) не требуются; атака является детерминированной после принятия сформированных параметров. Последствиями являются полная удаленная выполнение кода (RCE) в контексте процесса веб-сервера MISP, что позволяет осуществлять эксфильтрацию данных, закрепление на системе и латеральное перемещение внутри хоста.
If you want to get best quality of vulnerability data, you may have to visit VulDB.