CVE-2026-103651
WysokieCVSS 7.6Streszczenie
MISP zawiera podatność w przepływie uwierzytelniania jednorazowym hasłem (OTP), która pozwala na powtórne użycie skonsumowanego tokena HOTP (papierowego) i cofnięcie licznika tokena. Logika weryfikacji HOTP porównywała przesłany token z wartością licznika zapisaną w sesji użytkownika w momencie wprowadzenia hasła, a nie z autorytatywnym licznikiem przechowywanym w bazie danych. Ponieważ licznik zapisany w sesji nie jest aktualizowany po pomyślnym użyciu tokena, atakujący posiadający ważną sesję (hasło już wprowadzone) może ponownie użyć wcześniej spalonego tokena HOTP. Warunkiem jest, że docelowy użytkownik ma włączone uwierzytelnianie dwuskładnikowe HOTP (papierowy token), atakujący posiada ważną sesję, w której krok hasła został już ukończony (krok OTP jest oczekujący), oraz ma dostęp do co najmniej jednej wartości tokena HOTP (np. listy tokenów papierowych). Wpływ: obejście drugiego czynnika uwierzytelniania, umożliwiające nieautoryzowany dostęp do konta MISP, oraz uszkodzenie stanu licznika HOTP, potencjalnie unieważniające kolejne legalne tokeny lub umożliwiające dalsze powtórzenia. Dotyczy wersji <2.5.48.
Ocena ryzyka
Atakujący może obejść drugi czynnik uwierzytelniania i uzyskać nieautoryzowany dostęp do konta MISP, co może prowadzić do naruszenia poufności danych i integralności systemu.
Rekomendacja
Zaleca się aktualizację MISP do wersji 2.5.48 lub nowszej, która zawiera poprawkę. Należy również rozważyć wymuszenie rotacji tokenów HOTP i monitorowanie pod kątem nietypowych prób uwierzytelniania.
Inne podatności w MISP
Zobacz wszystkie- CVE-2026-103664Średnie
MISP zawiera podatność na odbity XSS w panelu notatek danych analityka. Parametr seed path, dostarczany przez użytkownika w URL, jest przekazywany bezpośrednio do JavaScript w odpowiedzi HTML bez sanitizacji. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, co pozwala na wykonanie dowolnego JavaScript w kontekście przeglądarki ofiary. Podatność dotyczy wersji przed poprawką (commit 58925dbf0, po v2.5.48).
- CVE-2026-103662Średnie
MISP zawiera podatność na odbity XSS w formularzach potwierdzenia tagów taksonomii (dodawanie i wyłączanie tagów). Formularze te wyświetlały wartość tagu dostarczoną przez użytkownika bez escape'owania. Atakujący może nakłonić administratora do odwiedzenia spreparowanego URL z złośliwym tagiem, co pozwala na wykonanie dowolnego JavaScript w sesji administratora. Podatność dotyczy wersji <2.5.48.
- CVE-2026-103389Średnie
MISP zawiera podatność na trwały skrypt XSS w obsłudze ikon galaktyk. Pole ikony obiektu galaktyki jest zapisywane bez walidacji po stronie serwera, a następnie bezpośrednio wstawiane do kodu HTML przez skrypty renderujące graf korelacji. Użytkownik z uprawnieniami perm_galaxy_editor może zapisać dowolny kod HTML lub JavaScript, który wykona się w przeglądarce innego użytkownika otwierającego graf korelacji.
- CVE-2026-103388Średnie
MISP renderuje pole źródła klastra galaktyki jako klikalny link, jeśli wartość przechodzi walidację FILTER_VALIDATE_URL, która akceptuje schemat javascript:. Użytkownik z uprawnieniami edytora galaktyk może zapisać adres javascript: jako źródło klastra, a po kliknięciu przez inną osobę skrypt wykona się w jej przeglądarce.
- CVE-2026-103321Wysokie
MISP zawiera podatność na przechowywane Cross Site Scripting (XSS) w funkcji podglądu grafu zdarzeń. Pole obrazu podglądu grafu jest akceptowane i przechowywane bez walidacji po stronie serwera, co pozwala na wstrzyknięcie złośliwego skryptu, który wykona się w przeglądarce ofiary.
- CVE-2026-103239Wysokie
MISP zawiera podatność na eskalację uprawnień w funkcji tworzenia i edycji kolekcji tagów. Akcje te akceptowały pełny ładunek żądania HTTP i przekazywały go do operacji zapisu masowego, która zapisywała nie tylko zamierzoną kolekcję tagów, ale także wszelkie powiązane dane modeli. Użytkownik z uprawnieniami edytora tagów może spreparować żądanie zawierające dodatkowe dane modeli (takie jak rekordy Użytkownika lub Organizacji), co umożliwia modyfikację lub tworzenie uprzywilejowanych kont i eskalację do administratora witryny.
- CVE-2026-103237Wysokie
MISP zawiera podatność na nieprawidłową walidację danych wejściowych w ścieżce zapisu ORM. Gdy użytkownik przesyła dane przez różne punkty końcowe, aplikacja oczyszcza rekord, usuwając klucz główny i przypinając event_id lub object_id do kontekstu wywołującego. Jednak metoda set() ORM nadaje priorytet zagnieżdżonemu kluczowi, którego nazwa odpowiada aliasowi modelu, i odrzuca zewnętrzne pola skalarne. Uwierzytelniony użytkownik z podstawowymi uprawnieniami zapisu może wykorzystać to do nadpisania, przeniesienia lub miękkiego usunięcia rekordów należących do innych organizacji lub zdarzeń.
- CVE-2026-103235Wysokie
MISP zawiera podatność na masowe przypisanie w funkcji delegowania zdarzeń. Gdy użytkownik z uprawnieniami delegowania przesyła żądanie delegowania, aplikacja autoryzuje użytkownika względem zdarzenia zidentyfikowanego w URL, ale następnie zapisuje cały przesłany rekord, w tym pola dostarczone przez wywołującego, takie jak klucz główny i event_id. Uwierzytelniony atakujący może wstrzyknąć klucz główny lub event_id do ładunku delegowania, aby przekierować istniejący rekord delegowania na dowolne zdarzenie w instancji, co skutkuje nieautoryzowanym dostępem do odczytu do zdarzeń innych organizacji, a w przypadku akceptacji delegowania, przeniesieniem własności zdarzenia.
- CVE-2026-95806Wysokie
MISP rejestruje w PHP wrapper strumienia phar zarówno w punkcie wejścia web, jak i konsoli. Powoduje to, że operacje na ścieżkach zależnych od użytkownika mogą wywołać niejawne unserialize() (sink deserializacji), a przeniesiony katalog główny aplikacji może prowadzić do wykonania kodu z przesłanego pliku phar jako użytkownik web.
- CVE-2026-95805Średnie
Literówka w konfiguracji kontroli dostępu ACLComponent w MISP spowodowała, że reguła ACL dla akcji previewEventAttributes odwołuje się do ciągu uprawnień 'theming_enabled*' (z gwiazdką na końcu) zamiast poprawnego 'theming_enabled'. Nieprawidłowy klucz nie pasuje do żadnego prawidłowego identyfikatora uprawnień, co powoduje nieprawidłowe działanie kontroli dostępu dla previewEventAttributes — może to skutkować obejściem autoryzacji lub odmową dostępu dla uprawnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
MISP contains a vulnerability in its one-time password (OTP) authentication flow that allows replay of a consumed HOTP (paper) token and rewinding of the token counter. The HOTP verification logic compared the submitted token against a counter value that was cached in the user's session at the time the password was entered, rather than against the authoritative counter stored in the database. Because the session-cached counter is not updated after a token is successfully consumed, an attacker who holds a valid session (password already submitted) can reuse a previously burned HOTP token. The stale cached counter still matches the replayed token, granting a second successful authentication and effectively rewinding the counter state. Preconditions: - The target user has HOTP (paper token) second-factor authentication enabled. - The attacker possesses a valid session in which the password step has already been completed (the OTP step is pending). - The attacker has access to at least one HOTP token value (e.g., a paper token list). Security impact: - Bypass of the second authentication factor, allowing unauthorized access to a user's MISP account. - Corruption of the HOTP counter state, potentially invalidating subsequent legitimate tokens or enabling further replays. Affected versions: <2.5.48.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS