CVE-2026-93295

MISP-nin fon işlərinin göndərilmə mexanizmində veb istifadəçisi kimi uzaqdan kodun icrasına imkan verən zəiflik mövcuddur. Fon işi arqumentləri birbaşa CakePHP konsol prosesinin argv-si kimi ötürülür. CakePHP-nin ShellDispatcher::_parsePaths() funksiyası bütün argv-ni yol açarları (-app, --app, -working, --working, -root, --root, -webroot, --webroot) üçün skan edir və növbəti elementi tətbiqin kök qovluğu kimi istifadə edir. events/contact son nöqtəsi (endpoint), istifadəçi tərəfindən idarə olunan sahələri (message və person) təsdiqləmədən iş arqumentlərinə ötürür. Əlaqə formasını göndərə bilən hücumçu, person sahəsini rezerv edilmiş açara, message sahəsini isə zərərli arxivə yönəlmiş phar:// URI-nə təyin edə bilər. Daha sonra CakePHP bootstrap həmin arxivdən Config/core.php faylını daxil edərək, hücumçu tərəfindən idarə olunan PHP kodunu veb istifadəçisinin imtiyazları ilə icra edir. Zəiflik events/contact formasını (və ya istifadəçi girişini fon işi arqumentlərinə yönləndirən hər hansı digər son nöqtəni) göndərmək imkanını tələb edir. Xüsusi zamanlama və ya yarış şərti (race condition) tələb olunmur; hazırlanmış parametrlər qəbul edildikdən sonra hücum deterministikdir. Təsir, MISP veb server prosesinin kontekstində tam uzaqdan kodun icrasıdır ki, bu da məlumatların sızdırılmasına, sistemdə qalmağa (persistence) və host daxilində lateral hərəkətə imkan verir.