CVE-2026-56446

MISP sayt administratoruna JsonLogTool tərəfindən istifadə edilən NDJSON xəta loqu üçün ixtiyari fayl sistemi yolu təyin etməyə icazə verirdi. Loq yazıları hücum edən şəxs tərəfindən idarə olunan məzmunu ehtiva edə bildiyi üçün, sayt administratoru imtiyazlarına malik autentifikasiya olunmuş hücumçu loq çıxışını veb-ə açıq kataloqdakı bir PHP faylına yönləndirə və loqlanan məlumatlar vasitəsilə PHP kodu inyeksiya edə bilərdi. Nəticədə yaranan fayla müraciət veb server prosesinin imtiyazları ilə uzaqdan kodun icrasına səbəb ola bilərdi. Düzəliş loq təyinatlarını APP/tmp/logs və ya /var/log altındakı mövcud kataloqlarla məhdudlaşdırır, mütləq yollar tələb edir, axın paketlərini (stream wrappers) və keçidlə bağlı (traversal) girişləri rədd edir, həmçinin fayl adlarını yalnız .log və ya .ndjson uzantıları ilə məhdudlaşdıraraq icra oluna bilən uzantı seqmentlərinə icazə vermir.