PT-2026-107567

CVE-2026-107276

Publicado

2026-10-07

Atualizado

2026-10-07

Descrição por

CVSS 4.0

6.3

Média

MétricasAV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas MISP versões anteriores a 2.5.48

Description Existe uma condição de corrida no fluxo de login por senha de uso único (OTP) baseada em e-mail. Isso ocorre porque o valor do OTP é lido do armazenamento compartilhado, validado e excluído em etapas não atômicas separadas. Consequentemente, se duas solicitações HTTP usando o mesmo OTP válido forem enviadas simultaneamente, ambas podem se autenticar com sucesso e estabelecer sessões antes que a exclusão ocorra. Isso viola a garantia de uso único do OTP e pode facilitar o acesso não autorizado se um código for interceptado ou compartilhado.

Recommendations Atualize para a versão 2.5.48 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Iglocska

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition

CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization (\'Race Condition\')