CVE-2026-85238

MISP, CustomAuth kimlik doğrulama (özel bir yapılandırma) akışında bir oturum sabitleme (session fixation) zafiyeti içermektedir. Bir kullanıcı CustomAuth aracılığıyla başarıyla kimlik doğrulandığında, MISP, oturum tanımlayıcısını önceden döndürmeden kimliği doğrulanmış kullanıcı kimliğini mevcut oturumda saklamaktaydı. Sonuç olarak, bir saldırgan kurbanın kimlik doğrulamadan önce saldırgan tarafından bilinen bir oturum tanımlayıcısı kullanmasını sağlayabilirse, aynı oturum tanımlayıcısı kurban başarıyla kimlik doğruladıktan sonra da geçerli kalmaya devam eder. Saldırgan daha sonra sabitlenmiş oturum tanımlayıcısını, kurbanın kimliği doğrulanmış MISP oturumuna erişmek için yeniden kullanabilir ve potansiyel olarak kurbanın hesabıyla ilişkili ayrıcalıkları elde edebilir. Sorun, Session->renew() çağrısı daha önce devre dışı bırakılmışken __customAuthentication() fonksiyonunun kimliği doğrulanmış kullanıcıyı mevcut CakePHP oturumuna yazmasından kaynaklanmaktadır. Yama, her istekte gereksiz oturum yenilemeden kaçınırken, yeni bir kimlik doğrulama gerçekleştiğinde veya kimliği doğrulanmış kullanıcı değiştiğinde oturum tanımlayıcı döndürme işlemini geri yükler.