CVE-2026-95754 in MISP
摘要
由 VulDB • 2026-09-22
在 MISP 的 UsersController 登录（login）方法中，用于 TOTP（双因素身份验证）验证分支的预认证数据库查询未在 SELECT 字段列表中包含 User.disabled 列。该查询仅选择了 User.password、User.totp 和 User.hotp_counter。当 TOTP 分支随后访问 $unauth_user['User']['disabled'] 时，由于结果集中缺少该键，导致出现 PHP “Undefined array key”（未定义数组键）警告，并使表达式求值为 null（假值）。因此，TOTP 分支中的禁用用户检查实际上失效：已注册 TOTP 的禁用用户可以继续进入 TOTP 验证步骤，而不是在此处被拒绝。
提交消息明确指出这在实践中是“无害的”，因为随后的 identify() 调用会重新对用户进行身份验证，并仍然会拒绝禁用的账户。
因此，实际的安全影响微乎其微，仅限于登录响应中极小的信息泄露差异（显示 TOTP 提示而非立即拒绝）以及应用程序日志中的 PHP 警告。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.