CVE-2026-107180

TOTP qeydiyyatı tələb edən şəkildə konfiqurasiya edilmiş (Security.otp_required) MISP instansiyalarında, məcburi iki faktorlu autentifikasiyanın tətbiqi yalnız standart brauzer sorğularına şamil edilirdi. Hələ TOTP qeydiyyatından keçməmiş autentifikasiya olunmuş istifadəçi, AJAX/XHR çağırışları, REST API sorğuları, .json formatlı URL-lər, restSearch sorğuları və ya avtomatlaşdırma hərəkətləri daxil olmaqla, hər hansı qeyri-brauzer sorğu növü göndərməklə məcburi quraşdırmadan yan keçə bilirdi. Bu maşın oxunaqlı sorğu növləri, brauzer yolunun istifadəçini TOTP qeydiyyat səhifəsinə yönləndirmək üçün istifadə etdiyi yönləndirməni izləyə bilmədiyi üçün, yoxlama sadəcə ötürülürdü və istifadəçi tələb olunan ikinci faktor quraşdırmasını tamamlamadan instansiyaya tam giriş imkanını saxlayırdı. İlkin düzəliş (commit 8deb0619e) xüsusi olaraq AJAX sorğuları üçün mühafizə mexanizmi əlavə etdi. Növbəti düzəliş (commit 6b527ba6e) isə API açarı vasitəsilə autentifikasiya olunmuş şəxsiyyətlər üçün istisnanı (logged_by_authkey bayrağı) qoruyub saxlayaraq, mühafizəni bütün qeyri-brauzer sorğu növlərini əhatə edəcək şəkildə genişləndirdi. Təsir: otp_required aktiv olan instansiyada autentifikasiya olunmuş istifadəçi, TOTP qeydiyyatından keçmədən qeyri-müəyyən müddətə tam giriş imkanı ilə fəaliyyət göstərə bilir ki, bu da instansiya səviyyəsindəki iki faktorlu autentifikasiya siyasətini əhəmiyyətsiz edir. Təsirlənən versiya: <2.5.48