CVE-2026-112188

MISP-nin server parametrlərinin axtarış mexanizmində autentifikasiya olunmuş istifadəçiyə gizlədilməli olan həssas konfiqurasiya məlumatlarını əldə etməyə imkan verən zəiflik mövcuddur. Parametrlərin axtarış funksiyası nöqtə ilə ayrılmış parametr adını konfiqurasiya ağacındakı bir düyünə yönləndirir. Konkret yarpaq parametri əvəzinə budaq adı (məsələn, Security, MISP və ya Plugin) təqdim edildikdə, funksiya bütün alt-ağacı qaytarır. Budaq düyünü gizlətmə bayrağına malik olmadığı üçün, parametrlərin alınması son nöqtəsindəki (endpoint) gizlətmə yoxlaması yan keçilir və budağın tam məzmunu sorğu göndərəninə qaytarılır. Bu, təhlükəsizlik duzu (security salt), Redis qoşulma şifrələri və plugin API açarları daxil olmaqla həssas dəyərləri ifşa edir. Server parametrlərini redaktə edən ikinci bir son nöqtə də budaq adı həll edildikdə oxşar şəkildə bütün konfiqurasiya anbarını oxuyaraq bütün parametrləri sorğu göndərəninə qaytarır. Təsir, server parametrləri son nöqtələrinə giriş imkanı olan hər hansı istifadəçiyə həssas server konfiqurasiyası sirlərinin ifşasıdır. Təsirə məruz qalan versiyalar: <2.5.48.