CVE-2026-93295

Nome do Software Vulnerável e Versões Afetadas MISP (versões afetadas não especificadas)

Descrição Uma falha no mecanismo de despacho de tarefas em segundo plano permite a execução remota de código com os privilégios do usuário web. O problema ocorre porque os argumentos das tarefas em segundo plano são passados diretamente como o argv do processo de console do CakePHP. A função ShellDispatcher:: parsePaths() verifica o argv em busca de chaves de caminho, como -app, --app, -working, --working, -root, --root, -webroot e --webroot, utilizando o elemento seguinte como a raiz da aplicação. Especificamente, o endpoint 'events/contact' encaminha os campos message e person para os argumentos da tarefa sem validação. Um invasor pode definir o campo person como uma chave reservada e o campo message como uma URI phar:// (um wrapper de arquivo PHP) apontando para um arquivo malicioso. Isso faz com que o bootstrap do CakePHP inclua o arquivo Config/core.php de dentro do arquivo, executando código PHP arbitrário. Isso permite a exfiltração de dados, persistência e movimentação lateral dentro do host.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.