CVE-2026-95701 in MISP
Сводка
по VulDB • 22.09.2026
В MISP метод __statisticsOrgs в UsersController.php использовал имя организации напрямую как компонент пути файловой системы при проверке наличия изображения логотипа организации. Исходный код вызывал функцию file_exists() с путем, сконструированным как APP . 'webroot' . DS . 'img' . DS . 'orgs' . DS . $k . '.png', где $k — это имя организации. Поскольку указанная директория (app/webroot/img/orgs) больше не существует в текущих развертываниях MISP (логотипы организаций были перемещены в files/img/orgs), эта проверка была функционально неработоспособной и никогда не срабатывала. Однако лежащий в основе паттерн — конкатенация имени организации, на которое может повлиять злоумышленник, в путь к файлу без санитизации (очистки) — представляет собой уязвимость обхода пути (path traversal). Имя организации, содержащее последовательности обхода директорий (например, '../../../../etc/passwd'), позволило бы аутентифицированному пользователю с возможностью создания или переименования организации проверить наличие произвольных файлов на сервере, если целевая директория существовала бы.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.