CVE-2026-56446

MISP, bir site yöneticisinin JsonLogTool tarafından kullanılan NDJSON hata günlüğü için rastgele bir dosya sistemi yolu yapılandırmasına izin vermekteydi. Günlük girişleri saldırgan tarafından kontrol edilen içerikler barındırabildiği için, site yöneticisi ayrıcalıklarına sahip kimliği doğrulanmış bir saldırgan, günlük çıktısını web üzerinden erişilebilir bir dizindeki bir PHP dosyasına yönlendirebilir ve günlüğe kaydedilen veriler aracılığıyla PHP kodu enjekte edebilirdi. Oluşan bu dosyaya erişilmesi, web sunucusu işlemi ayrıcalıklarıyla uzaktan kod çalıştırılmasına yol açabilirdi. Düzeltme; günlük hedeflerini APP/tmp/logs veya /var/log altındaki mevcut dizinlerle sınırlandırır, mutlak yollar gerektirir, akış sarmalayıcılarını (stream wrappers) ve dizin gezintisiyle (traversal) ilgili girdileri reddeder, dosya adlarını .log veya .ndjson uzantılarıyla sınırlar ve yürütülebilir uzantı bölümlerine izin vermez.