CVE-2026-95754

MISP-nin UsersController login() metodunda, TOTP (iki faktorlu autentifikasiya) yoxlama budağı üçün istifadə olunan autentifikasiyadan öncəki verilənlər bazası sorğusunun SELECT sahələri siyahısına User.disabled sütunu daxil edilməmişdi. Sorğu yalnız User.password, User.totp və User.hotp_counter sahələrini seçirdi. TOTP budağı daha sonra $unauth_user['User']['disabled'] elementinə müraciət etdikdə, həmin açar nəticə çoxluğunda mövcud olmadığı üçün PHP 'Undefined array key' xəbərdarlığı yaranır və ifadə null (yalan) kimi qiymətləndirilirdi. Nəticədə, TOTP budağındakı deaktiv edilmiş istifadəçi mühafizəsi effektiv şəkildə işləmir və TOTP-yə qeydiyyatdan keçmiş deaktiv istifadəçi həmin mərhələdə rədd edilmək əvəzinə, TOTP yoxlama mərhələsinə keçə bilirdi. Commit mesajında açıq şəkildə bildirilir ki, bu, praktikada 'zərərsizdir', çünki növbəti identify() çağırışı istifadəçini yenidən təsdiqləyir və deaktiv edilmiş hesabı hələ də rədd edir. Buna görə də, praktiki təhlükəsizlik təsiri minimaldır və yalnız giriş cavabındakı çox kiçik bir məlumat sızması fərqi ilə (dərhal rədd edilmək əvəzinə TOTP sorğusu təqdim olunur) və tətbiq loqlarında PHP xəbərdarlığı ilə məhdudlaşır.