Уязвимость CVE-2026-94383 в MISP: выполнение произвольного кода через workflow-модуль blocklist
В MISP обнаружена уязвимость CVE-2026-94383 с оценкой CVSS 8.6 (HIGH), позволяющая администратору сайта записать файл с произвольным расширением в экспортный каталог. Если веб-сервер настроен на выполнение скриптов из этого каталога, возможен запуск произвольного кода. Проблема затрагивает версии ниже 2.5.47.
Подробности
Уязвимость затрагивает MISP версий ниже 2.5.47. Workflow-модуль blocklist принимал от пользователя параметр с именем файла blocklist без валидации расширения. Единственной применявшейся санитизацией были вызов basename() для удаления компонентов пути и проверка на пустое значение или точку. В результате администратор сайта мог указать имя файла с произвольным расширением, и этот файл размещался в экспортном каталоге MISP. Если нижележащий веб-сервер сконфигурирован на интерпретацию и выполнение скриптов из данного каталога, созданный файл может быть вызван, что приводит к выполнению произвольного кода в контексте процесса веб-сервера. Для эксплуатации требуются привилегии администратора сайта внутри MISP, поскольку workflow-модуль blocklist доступен только этой роли. Дополнительное взаимодействие с пользователем не требуется — достаточно запустить действие workflow с подготовленным параметром имени файла. Воздействие оценивается как полная компрометация конфиденциальности, целостности и доступности сервера MISP, так как выполнение произвольных скриптов предоставляет атакующему те же права, что и у пользователя веб-сервера.Что делать
- Обновите MISP до версии 2.5.47 или выше — в ней устранена описанная проблема. - Если обновление невозможно, ограничьте права администраторов сайта MISP и не предоставляйте их недоверенным лицам. - Проверьте конфигурацию веб-сервера: запретите интерпретацию и выполнение скриптов в экспортном каталоге MISP (например, через отключение обработчиков скриптов для этой директории). - Ограничьте доступ к экспортному каталогу и контролируйте его содержимое на предмет неожиданных файлов. - В качестве дополнительной меры рассмотрите аудит действий с workflow-модулями и логирование запусков blocklist. Итог: CVE-2026-94383 — серьёзная уязвимость с оценкой 8.6, требующая наличия привилегий администратора сайта, но способная привести к полной компрометации сервера MISP при небезопасной конфигурации веб-сервера. Приоритетное действие — обновление до версии 2.5.47 и проверка настроек экспортного каталога.Источник: CVE Project (cvelistV5)