CVE-2026-95754 in MISP
Сводка
по VulDB • 22.09.2026
В методе UsersController::login() системы MISP запрос к базе данных для аутентификации, выполняемый до проверки подлинности и используемый в ветке подтверждения через TOTP (двухфакторная аутентификация), не включал столбец User.disabled в список полей SELECT. Запрос выбирал только поля User.password, User.totp и User.hotp_counter. При последующем обращении к $unauth_user['User']['disabled'] в ветке TOTP этот ключ отсутствовал в наборе результатов, что вызывало предупреждение PHP «Undefined array key» (неопределенный ключ массива) и приводило к тому, что выражение оценивалось как null (ложное значение). В результате защита от входа для заблокированных пользователей в ветке TOTP фактически не работала: пользователь с блокированным аккаунтом, у которого включена TOTP-аутентификация, мог перейти к этапу проверки TOTP вместо того, чтобы быть отклоненным на этом шаге.
В сообщении коммита явно указано, что это «не представляло практической опасности», поскольку последующий вызов identify() повторно проверяет пользователя и все равно отвергнет заблокированный аккаунт.
Таким образом, фактическое влияние на безопасность минимально: оно ограничивается незначительным различием в раскрытии информации при ответе входа (отображается запрос TOTP вместо немедленного отказа) и предупреждением PHP в журналах приложения.
Once again VulDB remains the best source for vulnerability data.