CVE-2026-85237

MISP-nin e-poçt əsaslı birdəfəlik parol (OTP) autentifikasiya axınındakı zəiflik hücumçuya məhdudiyyətsiz sayda OTP yoxlama cəhdləri etməyə imkan verirdi. email_otp() son nöqtəsi təqdim edilmiş OTP dəyərlərini təsdiqləyərkən brute-force mühafizəsini tətbiq etmirdi. Məsələn, istifadəçinin əsas autentifikasiya məlumatlarını uğurla daxil etdikdən sonra OTP yoxlama mərhələsinə çatmış bir hücumçu, eyni OTP hələ də etibarlı olduğu müddətcə təkrarən namizəd OTP dəyərləri göndərə bilərdi. Bu, OTP-ni təxmin etmə və əlavə autentifikasiya faktorundan yan keçmə ehtimalını əhəmiyyətli dərəcədə artıraraq, potensial olaraq təsirlənmiş istifadəçi hesabına icazəsiz girişlə nəticələnə bilərdi. Problem OTP-nin fərdi gözlənilən giriş sessiyası ilə deyil, birbaşa istifadəçi ilə əlaqələndirilməsi ilə daha da ağırlaşmışdı ki, bu da çoxsaylı paralel sessiyalara eyni etibarlı OTP üzərində təxminlər etməyə imkan verirdi. Yamaq mövcud MISP brute-force mühafizə mexanizmini e-poçt OTP axınına inteqrasiya edir. Artıq uğursuz OTP cəhdləri istifadəçi adına qeydə alınır, konfiqurasiya edilmiş həddə çatdıqda növbəti cəhdlər rədd edilir və cəhd limiti dolduqda aktiv OTP etibarsızlaşdırılır. Qara siyahıya salınmış istifadəçilərin yeni OTP yaradılması üçün sorğu göndərməsinin də qarşısı alınır. Əlavə olaraq, OTP müqayisəsi artıq hash_equals() funksiyasından istifadə edir və təqdim edilən dəyərin sətir (string) olduğunu yoxlayır.