CVE-2026-94379

MISP'nin UsersController.php dosyasındaki login() fonksiyonu, güvenlik açısından kritik birkaç kod yolu için yetersiz HTTP yöntemi doğrulaması içeriyordu. Orijinal kod; kaba kuvvet koruması, e-posta tek kullanımlık şifre (OTP) doğrulaması ve giriş hatası günlüğü tutulmasını zorunlu kılmadan önce yalnızca belirli HTTP yöntemlerini (POST ve PUT) kontrol eden bir izin listesi yaklaşımı kullanıyordu. Kontroller kapsamlı olmadığı için, kimliği doğrulanmamış bir saldırgan diğer HTTP yöntemlerini kullanarak giriş istekleri gönderebilir ve her üç güvenlik kontrolünü aynı anda atlayabilirdi. Özellikle: - Kaba kuvvet engelleme listesi kontrolü ve deneme sayacı atlanarak, hız sınırlamasına takılmadan veya engellenmeden sınırsız kimlik bilgisi tahmin denemesi yapılmasına izin verildi - E-posta OTP iki faktörlü kimlik doğrulama adımı atlanarak, ikinci kimlik doğrulama faktörü etkisiz hale getirildi - Giriş hatası olayları ne kaydedildi ne de sayıldı; bu durum denetim izini ve normalde engelleme listesi kaydını tetikleyecek mekanizmayı ortadan kaldırdı. Güvenlik etkisi, giriş uç noktasına POST/PUT dışı bir yöntemle HTTP isteği oluşturabilen herhangi bir saldırgan için kaba kuvvet korumasının ve çok faktörlü kimlik doğrulamanın fiilen devre dışı kalmasıdır; bu durum potansiyel olarak kimlik bilgilerinin ele geçirilmesine ve MISP örneğine yetkisiz erişime yol açabilir. Etkilenen sürüm: <2.5.47