CVE-2026-95754

MISP'in UsersController login() metodunda, TOTP (iki faktörlü kimlik doğrulama) doğrulama dalı için kullanılan kimlik doğrulama öncesi veritabanı sorgusu, SELECT alanlar listesinde User.disabled sütununu içermiyordu. Sorgu yalnızca User.password, User.totp ve User.hotp_counter değerlerini seçiyordu. TOTP dalı daha sonra $unauth_user['User']['disabled'] ifadesine eriştiğinde, anahtar sonuç kümesinde bulunmadığı için bir PHP 'Undefined array key' uyarısı oluşuyor ve ifadenin null (yanlış) olarak değerlendirilmesine neden oluyordu. Sonuç olarak, TOTP dalındaki devre dışı kullanıcı koruması etkisiz hale gelmişti: Devre dışı bırakılmış ve TOTP kaydı yapılmış bir kullanıcı, o noktada reddedilmek yerine TOTP doğrulama adımına geçebiliyordu. Commit mesajında, sonraki identify() çağrısının kullanıcıyı yeniden doğruladığı ve devre dışı bırakılmış bir hesabı yine de reddedeceği için bunun 'pratikte zararsız' olduğu açıkça belirtilmiştir. Bu nedenle pratik güvenlik etkisi; giriş yanıtındaki çok küçük bir bilgi ifşası farkı (anlık ret yerine bir TOTP isteminin sunulması) ve uygulama günlüklerindeki bir PHP uyarısı ile sınırlı olup minimum düzeydedir.