CVE-2026-86452

WysokieCVSS 7.5

Opublikowano: 07/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 14/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Podatne wersje MISP pozwalają nieuwierzytelnionym lub słabo ograniczonym ścieżkom żądań na wykonywanie trwałej pracy bez odpowiednich ograniczeń wejścia lub limitowania szybkości. Endpoint resetowania hasła users/forgot przyjmował kontrolowaną przez atakującego wartość e-mail bez wcześniejszego narzucenia rozsądnego limitu długości lub walidacji formatu, co powodowało wielokrotne zapisanie wartości na żądanie. Poprawka dodaje maksymalną długość 1024 bajtów, walidację formatu e-mail, budżet żądań przed uwierzytelnieniem, odpowiedzi HTTP 429, 15-minutowy cooldown oraz obsługę tylko POST i ochronę CSRF.

Ocena ryzyka

Nieuwierzytelniony atakujący może wywołać nadmierne zużycie zasobów i kosztów przechowywania poprzez powtarzalne żądania resetowania hasła, co może prowadzić do odmowy usługi. Może to również posłużyć do zaśmiecania logów audytowych i kolejek zadań.

Rekomendacja

Zaktualizuj MISP do wersji zawierającej poprawkę (powyżej 2.5.45). Wdróż limity szybkości i walidację wejścia na endpointach publicznych oraz monitoruj nietypowy ruch związany z resetowaniem hasła.

Inne podatności w MISP

Zobacz wszystkie

Oryginalny opis (angielski, źródło NVD)

Affected versions of MISP permit unauthenticated or weakly constrained request paths to perform persistent work without adequate input bounds or rate limiting. The users/forgot password-reset endpoint accepted an attacker-controlled email value without first imposing a reasonable length bound or validating its format. That value was then used to create an audit log entry and queue a password-reset job, causing the supplied value to be persisted more than once per request. The commit explicitly states that an unbounded unauthenticated request field was stored twice per call with no throttle. The fix adds: - a maximum email input length of 1024 bytes; - email-format validation before persistent work; - a per-source pre-authentication request budget; - HTTP 429 responses when that budget is exceeded; - a 15-minute cooldown for API-access request emails; - POST-only handling and CSRF protection for the API-access request endpoint. The new flood filter is specifically intended to limit persistent storage costs from anonymous requests such as password resets, registrations, and failed REST authentication attempts. Version affected: ≤2.5.45

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS