CVE-2026-106513

ŚrednieCVSS 6.9

Opublikowano: 06/10/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 07/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.64%

Percentyl 49 - wyżej niż 49% wszystkich znanych CVE

Streszczenie

MISP udostępnia krytyczne ustawienia infrastruktury — w tym adresy hostów Redis używane przez aplikację rdzeniową, plugin ZeroMQ oraz plugin SimpleBackgroundJobs — przez interfejs webowy i API użytkownikom site-admin. Pracownicy zadań w tle ufają surowym ładunkom zadań Redis bez dodatkowej walidacji. Atakujący, który uzyska przejętą sesję site-admin (np. przez przechowywaną podatność XSS), może zmienić ustawienia hosta Redis na wskazujące na kontrolowany przez atakującego serwer Redis, a następnie zrestartować pracowników. Gdy pracownicy połączą się z instancją Redis atakującego, atakujący może wstrzyknąć złośliwe ładunki zadań, które pracownicy wykonują, osiągając wykonanie dowolnych poleceń jako konto pracownika. Dodatkowo ustawienie download_attachments_on_load, które kontroluje renderowanie załączników w linii, było modyfikowalne przez ten sam interfejs, co pozwalało przejętej sesji na ponowne włączenie funkcji, która mogła ułatwić dalsze ataki po stronie klienta. Podatność wymaga uprawnień site-admin i wcześniejszego mechanizmu kompromitacji sesji; nie wymaga dostępu nieuwierzytelnionego. Wpływ to zdalne wykonanie kodu w kontekście procesu pracownika MISP oraz potencjalna eksfiltracja danych przez połączenie Redis kontrolowane przez atakującego.

Ocena ryzyka

Ryzyko zdalnego wykonania kodu w kontekście procesu pracownika MISP oraz potencjalnej eksfiltracji danych, co może prowadzić do pełnej kompromitacji systemu MISP.

Rekomendacja

Zalecane jest ograniczenie uprawnień site-admin, wzmocnienie walidacji ładunków zadań Redis, zabezpieczenie sesji przed przejęciem (np. przez eliminację XSS) oraz monitorowanie zmian w konfiguracji Redis.

Inne podatności w MISP

Zobacz wszystkie

Oryginalny opis (angielski, źródło NVD)

MISP exposes critical infrastructure settings—specifically the Redis host addresses used by the core application, the ZeroMQ plugin, and the SimpleBackgroundJobs plugin—through its web UI and API to site-admin users. The background job workers trust raw Redis job payloads without additional validation. An attacker who obtains a hijacked site-admin session (for example, through a stored cross-site scripting vulnerability) can modify the Redis host settings to point at an attacker-controlled Redis server and then restart the workers. Once the workers connect to the attacker's Redis instance, the attacker can inject malicious job payloads that the workers execute, achieving arbitrary command execution as the worker account. Additionally, the download_attachments_on_load setting, which controls inline attachment rendering, was modifiable through the same interface, allowing a hijacked session to re-enable a feature that could facilitate further client-side attacks. The vulnerability requires site-admin privileges and a prior session-compromise mechanism; it does not require unauthenticated access. The impact is remote code execution in the context of the MISP worker process and potential data exfiltration through the attacker-controlled Redis connection.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS