CVE-2026-103651

Nome do Software Vulnerável e Versões Afetadas MISP versões anteriores a 2.5.48

Descrição Uma falha existe no fluxo de autenticação de senha de uso único (OTP) que permite a repetição de um token HMAC-based One-Time Password (HOTP) já consumido e o retrocesso do contador de tokens. O problema ocorre porque a lógica de verificação compara o token enviado com um valor de contador armazenado em cache na sessão do usuário, em vez de utilizar o contador autoritativo no banco de dados. Como o contador em cache não é atualizado após o uso de um token, um invasor com uma sessão válida (onde a senha já foi enviada, mas o OTP está pendente) pode reutilizar um token previamente usado para ignorar o segundo fator de autenticação e obter acesso não autorizado. Esse processo também corrompe o estado do contador HOTP, o que pode invalidar tokens legítimos futuros.

Recomendações Atualize para a versão 2.5.48 ou posterior.