CVE-2026-107180

TOTP kaydının zorunlu olarak yapılandırıldığı (Security.otp_required) MISP örneklerinde, zorunlu iki faktörlü kimlik doğrulama kurulumunun uygulanması yalnızca standart tarayıcı istekleri için geçerliydi. Henüz TOTP kaydı yapmamış kimliği doğrulanmış bir kullanıcı; AJAX/XHR çağrıları, REST API istekleri, .json formatlı URL'ler, restSearch sorguları veya otomasyon eylemleri dahil olmak üzere herhangi bir tarayıcı dışı istek türü göndererek zorunlu kurulumu atlayabiliyordu. Makine tarafından okunabilir bu istek biçimleri, tarayıcı yolunun kullanıcıyı TOTP kayıt sayfasına yönlendirmek için kullandığı yeniden yönlendirmeyi takip edemediği için koruma mekanizması kontrolü basitçe atlıyor ve kullanıcı gerekli ikinci faktör kurulumunu tamamlamadan örneğe tam erişim sağlamaya devam ediyordu. İlk düzeltme (commit 8deb0619e), özellikle AJAX istekleri için bir koruma ekledi. Ardından gelen bir düzeltme (commit 6b527ba6e), API anahtarı aracılığıyla kimliği doğrulanmış kimlikler için istisnayı (logged_by_authkey bayrağı) korurken, korumayı tüm tarayıcı dışı istek biçimlerini kapsayacak şekilde genişletti. Etki: otp_required etkinleştirilmiş bir örnekteki kimliği doğrulanmış bir kullanıcı, TOTP kaydı yapmadan süresiz olarak tam erişimle işlem yapabilir ve bu durum örnek düzeyindeki iki faktörlü kimlik doğrulama politikasını etkisiz hale getirir. Etkilenen versiyon: <2.5.48