CVE-2026-54394

MISP, OrganisationsController::getOrgLogo bileşeninde bir yol aşımı (path traversal) zafiyeti içermektedir. Zafiyetli kod; çözümlenen dosyanın hedeflenen APP/files/img/orgs/ dizini içinde kaldığından emin olmadan, id, name ve uuid gibi organizasyon tarafından kontrol edilen alanları kullanarak organizasyon logo dosya yollarını oluşturmaktadır. Bir organizasyon alanını (örneğin organizasyon adını) etkileyebilen bir saldırgan, yol aşımı dizileri kullanarak MISP'in organizasyon logo dizininin dışındaki rastgele okunabilir .png veya .svg dosyalarını döndürmesini sağlayabilir. Sorun, aday yolların realpath() ile çözümlenmesi ve dosya sunulmadan önce beklenen temel dizin altında olduklarının doğrulanmasıyla giderilmiştir.