CVE-2026-93295

MISP, arka plan iş dağıtım mekanizmasında, web kullanıcısı olarak uzaktan kod çalıştırılmasına izin veren bir güvenlik açığı içermektedir. Arka plan iş argümanları, doğrudan CakePHP konsol işleminin argv parametresi olarak aktarılmaktadır. CakePHP'nin ShellDispatcher::_parsePaths() fonksiyonu, tüm argv dizisini yol anahtarları (-app, --app, -working, --working, -root, --root, -webroot, --webroot) için taramakta ve takip eden öğeyi uygulama kök dizini olarak kullanmaktadır. events/contact uç noktası, kullanıcı kontrollü alanları (message ve person) herhangi bir doğrulama yapmadan iş argümanlarına aktarmaktadır. İletişim formunu gönderebilen bir saldırgan, person alanını ayrılmış bir anahtar olarak ve message alanını kötü amaçlı bir arşive işaret eden phar:// URI'si olarak ayarlayabilir. Ardından CakePHP bootstrap işlemi, söz konusu arşiv içerisindeki Config/core.php dosyasını dahil ederek, saldırgan tarafından kontrol edilen PHP kodunu web kullanıcısının yetkileriyle çalıştırır. Güvenlik açığı, events/contact formunun (veya kullanıcı girişini arka plan iş argümanlarına yönlendiren başka herhangi bir uç noktanın) gönderilebilmesini gerektirir. Özel bir zamanlama veya yarış durumu (race condition) gerekmemektedir; hazırlanan parametreler kabul edildiğinde saldırı deterministiktir. Etki, MISP web sunucusu işlemi bağlamında tam uzaktan kod çalıştırmadır; bu durum veri sızdırmaya, kalıcılığa ve ana bilgisayar içinde yanal harekete olanak tanır.