CVE-2026-95806

MISP, hem web giriş noktasında hem de konsol giriş noktasında kayıtlı olan PHP'nin phar stream wrapper özelliği ile birlikte gelir. phar stream wrapper, PHP'nin bir phar arşivini dizin olarak değerlendirmesine neden olur ve bu durum iki güvenlik sonucunu beraberinde getirir: - Çağırıcı tarafından etkilenen ve bir phar arşivine çözümlenen herhangi bir dosya sistemi işlemi, örtük bir unserialize() çağrısını tetikleyerek bir deserialization sink oluşturur; - Yeniden konumlandırılmış bir uygulama kökü, yüklenen bir phar dosyası içindeki yürütülebilir koda erişebilir ve bu da web kullanıcısı olarak rastgele kod çalıştırılmasına olanak tanır. MISP'in hiçbir bileşeni, bağımlılık olarak eklenen CakePHP framework'ü veya çalışma zamanında yüklenen herhangi bir kitaplık phar arşivlerini okumaz veya oluşturmaz. Bu nedenle wrapper, MISP çalışma zamanında meşru bir amaca hizmet etmez ve yalnızca bir dosya sistemi yolu argümanını etkileyebilen bir saldırgan için mevcut bir primitif olarak yer alır.