CVE-2026-93295: удалённое выполнение кода в MISP через инъекцию аргументов фоновых задач

Введение

В системе обмена информацией об угрозах MISP (Malware Information Sharing Platform) выявлена уязвимость, связанная с механизмом диспетчеризации фоновых задач. Она позволяет удалённому злоумышленнику выполнить произвольный код с правами веб-пользователя. Проблеме присвоен идентификатор CVE-2026-93295, базовая оценка по CVSS — 8.7 (HIGH).

Подробности

Уязвимость затрагивает продукт MISP. Корневая причина — небезопасная передача аргументов фоновых задач напрямую в массив argv консольного процесса CakePHP. Внутренний механизм CakePHP ShellDispatcher::_parsePaths() анализирует весь argv в поисках переключателей пути (-app, --app, -working, --working, -root, --root, -webroot, --webroot) и использует следующий за ними элемент как корень приложения.

Конечная точка events/contact передаёт управляемые пользователем поля (message и person) в аргументы задачи без должной проверки. Злоумышленник, имеющий возможность отправить форму обратной связи, может установить поле person в значение одного из зарезервированных переключателей, а поле message — в phar:// URI, указывающий на вредоносный архив. После этого загрузчик CakePHP подключает Config/core.php из этого архива, что приводит к выполнению произвольного PHP-кода с привилегиями веб-пользователя.

Эксплуатация не требует специального тайминга или состояния гонки — атака детерминирована после принятия сформированных параметров. Последствия включают полное удалённое выполнение кода в контексте веб-серверного процесса MISP, что открывает возможности для эксфильтрации данных, закрепления в системе и горизонтального перемещения в пределах хоста.

Что делать

Рекомендуется незамедлительно обновить MISP до версии, содержащей исправление данной уязвимости, — информация о конкретной версии должна быть уточнена у производителя. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные меры:

• ограничить доступ к конечной точке events/contact и другим точкам, передающим пользовательский ввод в аргументы фоновых задач, только для доверенных пользователей;
• внедрить строгую валидацию и санитизацию полей message и person перед передачей в фоновые задачи, заблокировав зарезервированные переключатели и схемы URI (в частности, phar://);
• обеспечить мониторинг журналов на предмет подозрительных вызовов консольных процессов CakePHP с нештатными аргументами.

Дополнительно стоит проверить, не подвергались ли системы компрометации, и при необходимости провести аудит на предмет закрепления злоумышленника.

Итог

CVE-2026-93295 представляет серьёзную угрозу для развёртываний MISP, доступных для отправки форм обратной связи. Высокая критичность и детерминированный характер эксплуатации требуют приоритетного реагирования: обновление или применение митигаций должны быть выполнены как можно скорее.

Источник: CVE Project (cvelistV5)