CVE-2026-95806

Nome do Software Vulnerável e Versões Afetadas MISP (versões afetadas não especificadas)

Descrição O MISP registra o wrapper de stream phar do PHP em seus pontos de entrada web e de console. Esse wrapper faz com que o PHP trate arquivos phar como diretórios, resultando em dois riscos de segurança: qualquer operação de sistema de arquivos em um caminho influenciado pelo chamador que resolva para um arquivo phar dispara uma chamada implícita de unserialize(), criando um sumidouro de desserialização, e uma raiz de aplicativo realocada pode acessar código executável dentro de um arquivo phar enviado, permitindo a execução de código arbitrário como o usuário web. O wrapper não possui finalidade legítima no tempo de execução do MISP, no framework CakePHP ou em suas bibliotecas carregadas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.