CVE-2026-86452

MISP'nin etkilenen sürümleri, yeterli girdi sınırları veya hız sınırlaması olmaksızın kalıcı işlemler gerçekleştirmek için kimlik doğrulaması yapılmamış veya zayıf şekilde kısıtlanmış istek yollarına izin vermektedir. users/forgot password-reset uç noktası, makul bir uzunluk sınırı uygulamadan veya biçimini doğrulamadan saldırgan tarafından kontrol edilen bir e-posta değerini kabul ediyordu. Bu değer daha sonra bir denetim günlüğü girişi oluşturmak ve bir şifre sıfırlama işini kuyruğa almak için kullanılıyor, bu da sağlanan değerin istek başına birden fazla kez kalıcı hale getirilmesine neden oluyordu. Commit kaydı, sınırsız ve kimlik doğrulanmamış bir istek alanının herhangi bir sınırlama olmaksızın çağrı başına iki kez saklandığını açıkça belirtmektedir. Düzeltme şunları ekler: - Maksimum 1024 baytlık bir e-posta girdi uzunluğu; - Kalıcı işlemden önce e-posta biçimi doğrulaması; - Kaynak başına kimlik doğrulama öncesi istek bütçesi; - Bu bütçe aşıldığında HTTP 429 yanıtları; - API erişim isteği e-postaları için 15 dakikalık bir bekleme süresi; - API erişim isteği uç noktası için yalnızca POST işlemleriyle yönetim ve CSRF koruması. Yeni sel filtresi (flood filter), özellikle şifre sıfırlama, kayıt ve başarısız REST kimlik doğrulama girişimleri gibi anonim isteklerden kaynaklanan kalıcı depolama maliyetlerini sınırlamayı amaçlamaktadır. Etkilenen sürüm: ≤2.5.45