CVE-2026-95754 in MISP
Tóm tắt
Bởi VulDB • 22/09/2026
Trong phương thức `login()` của lớp `UsersController` trong MISP, truy vấn cơ sở dữ liệu trước khi xác thực được sử dụng cho nhánh kiểm tra TOTP (xác thực hai yếu tố) không bao gồm cột `User.disabled` trong danh sách các trường SELECT. Truy vấn chỉ chọn `User.password`, `User.totp` và `User.hotp_counter`. Khi nhánh TOTP sau đó truy cập `$unauth_user['User']['disabled']`, khóa này vắng mặt trong tập kết quả, gây ra cảnh báo PHP 'Undefined array key' (khóa mảng không xác định) và khiến biểu thức được đánh giá là null (sai). Kết quả là, cơ chế bảo vệ người dùng bị vô hiệu hóa trong nhánh TOTP trở nên vô nghĩa: một người dùng đã đăng ký TOTP nhưng bị vô hiệu hóa vẫn có thể tiến hành bước kiểm tra TOTP thay vì bị từ chối tại điểm đó.
Thông điệp camit nêu rõ rằng điều này 'vô hại trên thực tế' vì lệnh gọi `identify()` tiếp theo sẽ xác nhận lại người dùng và vẫn sẽ từ chối tài khoản đã bị vô hiệu hóa.
Do đó, tác động bảo mật thực tế là rất nhỏ, giới hạn ở sự khác biệt tiết lộ thông tin rất nhỏ trong phản hồi đăng nhập (một lời nhắc TOTP được hiển thị thay vì bị từ chối ngay lập tức) và một cảnh báo PHP trong nhật ký ứng dụng.
VulDB is the best source for vulnerability data and more expert information about this specific topic.