PT-2026-107499 · Misp+1 · Misp
CVSS v4.0
7.1
عالية
| المتجه | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المصاب والإصدارات المتأثرة
MISP الإصدارات السابقة لـ 2.5.48
Description
في الحالات التي يتم فيها تكوين مثيلات MISP لتطلب التسجيل في TOTP عبر
Security.otp required ، كان فرض إعداد المصادقة الثنائية الإلزامية يقتصر فقط على طلبات المتصفح القياسية. كان بإمكان المستخدم المصادق عليه والذي لم يسجل بعد في TOTP تجاوز هذا الإعداد من خلال إصدار أي نوع من الطلبات غير الخاصة بالمتصفح، بما في ذلك مكالمات AJAX/XHR، أو طلبات REST API، أو عناوين URL بتنسيق .json ، أو استعلامات restSearch ، أو إجراءات الأتمتة. يحدث هذا لأن أشكال الطلبات القابلة للقراءة آليًا لا يمكنها اتباع إعادة التوجيه التي يستخدمها مسار المتصفح لإرسال المستخدم إلى صفحة التسجيل في TOTP، مما يسمح للمستخدم بالاحتفاظ بالوصول الكامل إلى المثيل دون إكمال إعداد العامل الثاني المطلوب.Recommendations
التحديث إلى الإصدار 2.5.48 أو إصدار أحدث.
استغلال
إصلاح
Missing Authentication
Improper Authentication
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Misp