CVE-2026-90961

Nome do Software Vulnerável e Versões Afetadas MISP versões anteriores a 2.5.46

Descrição Os plugins de autenticação LdapAuth e LinOTPAuth contêm uma falha de bypass de autenticação. As funções LdapAuthenticate e LinOTPAuthenticate não implementam a guarda de validação de entrada checkFields(), permitindo que os campos de e-mail e senha das solicitações de login sejam processados sem verificar se são strings não vazias. No autenticador LDAP, uma senha vazia ou nula é enviada para ldap bind(), o que pode ser aceito como um bind não autenticado bem-sucedido por muitos servidores de diretório LDAP. Isso permite que um invasor com um endereço de e-mail de usuário válido se autentique sem senha. Valores que não sejam strings também podem causar TypeErrors ou ser mal interpretados em findUser(). No autenticador LinOTP, credenciais que não sejam strings podem ser concatenadas em solicitações de verificação, e senhas vazias podem ser aceitas contra hashes armazenados de strings vazias. Além disso, contas LDAP provisionadas automaticamente podem receber e armazenar um hash de uma senha vazia, permitindo o acesso via fallback de autenticação mista se o usuário não estiver mais no LDAP. A exploração requer que o plugin afetado esteja habilitado e o conhecimento de um endereço de e-mail válido, concedendo ao invasor os privilégios totais do usuário impersonado.

Recomendações Atualize o MISP para a versão 2.5.46 ou posterior. Como medida paliativa temporária, desative os plugins LdapAuth e LinOTPAuth até que a atualização seja aplicada.