CVE-2026-85238

MISP-də CustomAuth autentifikasiya (fərdi konfiqurasiya) axınında sessiyanın fiksasiyası zəifliyi mövcuddur. İstifadəçi CustomAuth vasitəsilə uğurla autentifikasiya edildikdə, MISP sessiya identifikatorunu yeniləmədən autentifikasiya olunmuş istifadəçi kimliyini mövcud sessiyada saxlayırdı. Nəticədə, əgər hücumçu qurbanı autentifikasiyadan əvvəl hücumçuya məlum olan sessiya identifikatorundan istifadə etməyə məcbur edərsə, həmin sessiya identifikatoru qurban uğurla autentifikasiya olduqdan sonra da etibarlı qalır. Hücumçu daha sonra fiksasiya edilmiş sessiya identifikatorundan istifadə edərək qurbanın autentifikasiya olunmuş MISP sessiyasına daxil ola və potensial olaraq qurbanın hesabı ilə bağlı imtiyazları əldə edə bilər. Problem ondan qaynaqlanır ki, Session->renew() çağırışı əvvəllər deaktiv edildiyi üçün __customAuthentication() funksiyası autentifikasiya olunmuş istifadəçini mövcud CakePHP sessiyasına yazırdı. Yamaq, hər sorğuda lazımsız sessiya yenilənməsinin qarşısını almaqla yanaşı, yeni autentifikasiya baş verdikdə və ya autentifikasiya olunmuş istifadəçi dəyişdikdə sessiya identifikatorunun rotasiyasını bərpa edir.