Nicht einstufbarKonfidenz: Mittel

EPSS0.5 %

Es wird dringend empfohlen, MISP umgehend auf die neueste Version (2.5.46 oder höher) zu aktualisieren, um die genannten Schwachstellen zu beheben.

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-15 12:06 UTCMethodik

Red Team

[NEU] [hoch] MISP: Mehrere Schwachstellen

CERT-Bund·15. September 2026, 12:06

Originalartikel lesen bei CERT-Bund

Mehrere hochkritische Schwachstellen in der Open-Source-Plattform MISP (Versionen <2.5.46 und 2.5.46) ermöglichen Angreifern erweiterte Berechtigungen, Datenmanipulation und Codeausführung. Nutzer von MISP auf UNIX-ähnlichen Systemen sind betroffen. Es wird dringend empfohlen, die Plattform umgehend zu aktualisieren, um diese Risiken zu mindern.

SecBoard-Einordnung

Organisationen, die MISP zur Bedrohungsanalyse nutzen, könnten durch diese Schwachstellen kompromittiert werden, was zu einer Manipulation oder Offenlegung sensibler Bedrohungsdaten führen kann. Die Möglichkeit der Codeausführung stellt ein erhebliches Risiko für die Integrität und Vertraulichkeit der Systeme dar.

Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer die Kontrolle über die MISP-Plattform erlangen, sensible Bedrohungsdaten manipulieren oder exfiltrieren und die zugrunde liegenden Systeme kompromittieren, was zu einem weitreichenden Sicherheitsvorfall führen könnte.

Key Facts

CVE-2026-90961

CVSS: unbekannt
EPSS: 0.5%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt

CVE-2026-91851

CVSS: unbekannt
EPSS: 0.3%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt

CVE-2026-91825

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt

CVE-2026-90957

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt

CVE-2026-91846

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt

CVE-2026-90893

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt

CVE-2026-90895

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt

CVE-2026-90955

CVSS: unbekannt
EPSS: 0.1%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt

Betroffen

Nutzer der Open-Source-Plattform MISP auf UNIX-ähnlichen Systemen sind betroffen, insbesondere alle Versionen vor 2.5.46.

Prüfen

▸Überprüfen Sie die aktuell installierte Version Ihrer MISP-Instanz, um festzustellen, ob sie anfällig ist (Version <2.5.46 oder 2.5.46).
▸Stellen Sie sicher, dass alle MISP-Instanzen auf UNIX-ähnlichen Systemen auf die neueste Version aktualisiert wurden.

▸ 1 weitere

▸Überwachen Sie Systemprotokolle und MISP-Audit-Logs auf ungewöhnliche Aktivitäten oder Anzeichen von Kompromittierung, insbesondere nach der Aktualisierung.

Offene Punkte

▸ anzeigen

▸Es ist nicht spezifiziert, welche spezifischen CVEs mit diesen Schwachstellen verbunden sind.
▸Der genaue Mechanismus der Codeausführung und Datenmanipulation ist im Artikel nicht detailliert beschrieben.
▸Es wird nicht angegeben, ob es bekannte aktive Exploits für diese Schwachstellen gibt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(3)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Codeausführung“

T1068Exploitation for Privilege Escalationzugeordnet

„ermöglichen Angreifern erweiterte Berechtigungen“

T1490Inhibit System Recoveryzugeordnet

„Datenmanipulation“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[NEU] [hoch] MISP: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-90961 CVE-2026-91851 CVE-2026-91825 CVE-2026-90957 CVE-2026-91846 CVE-2026-90893 CVE-2026-90895 CVE-2026-90955

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (8)

CVE-2026-90961NONE

EPSS 0.5%

The LdapAuth and LinOTPAuth authentication plugins in MISP contain an authentication bypass vulnerability. Both LdapAuthenticate and LinOTPAuthenticate replace CakePHP's FormAuthenticate class but fail to replicate its _checkFields() input validation guard. As a result, the email and password fields extracted from the login request are passed to downstream authentication logic without verifying that they are non-empty strings. In the LDAP authenticator, an empty or null password is forwarded to ldap_bind(). Per RFC 4513 section 5.1.2, a bind request with a valid DN and an empty password constitutes an unauthenticated bind, which many LDAP directory servers accept as successful. An attacker who knows any valid user email address in the directory can therefore authenticate as that user without possessing a password. Additionally, non-string values (null, false, arrays) are either coerced to empty strings by ldap_bind(), raise TypeErrors, or are misinterpreted as find conditions in _findUser(), all of which can lead to unintended authentication outcomes. In the LinOTP authenticator, the same missing guard allows non-string credentials to be concatenated into the LinOTP verification request, and in the mixed-authentication branch an empty password is accepted against a stored hash of the empty string. A secondary issue in the LDAP authenticator is that newly created user accounts (auto-provisioned on first LDAP login) were assigned an empty password. Because the save path skips validation, the empty string is hashed and stored. If the user later ceases to be found in LDAP and the mixed-authentication fallback is used, the stored hash of the empty string verifies against an empty password, again permitting unauthenticated access. The vulnerability requires that the affected plugin (LdapAuth or LinOTPAuth) is enabled on the MISP instance and that the attacker knows at least one valid email address registered in the directory or MISP user store. No prior authentication is required. Successful exploitation grants the attacker the full privileges of the impersonated user, which may include administrative access to threat intelligence data. Version affected: ≤2.5.45

Details NVD

CVE-2026-91851NONE

EPSS 0.3%

Affected versions of MISP incorrectly filter dashboard templates that are restricted to a specific permission flag. DashboardsController::listTemplates() allowed a template when either: - its restrict_to_permission_flag matched one of the current user’s permission flags, or - restrict_to_permission_flag equaled integer 0 However, restrict_to_permission_flag is a varchar. MySQL therefore performed numeric coercion when comparing the column against integer 0. Strings such as perm_site_admin convert numerically to zero, making expressions such as perm_site_admin = 0 evaluate true and causing the “unrestricted” branch to match permission-restricted templates as well. Version affected: ≤2.5.45

Details NVD

CVE-2026-91825NONE

EPSS 0.2%

Affected versions of MISP fail to authorize a submitted sharing group in a specific event-edit path. The vulnerable logic checked whether the acting user could use a sharing_group_id only when the request explicitly supplied distribution = 4. If the attacker instead omitted distribution but supplied a different sharing_group_id, that authorization branch was skipped. Later, MISP’s field-recovery logic restored the existing event distribution from storage. For events already configured with sharing-group distribution, the unauthorized sharing-group ID could therefore be saved. The fix adds authorization checks in both the controller and Event::_edit() whenever a non-empty sharing_group_id is supplied without distribution. The model now calls SharingGroup::checkIfAuthorised() before persisting the change. Version affected: ≤2.5.45

Details NVD

CVE-2026-90957NONE

EPSS 0.2%

Affected versions of MISP serve uploaded SVG images inline without a restrictive browser sandbox. The commit explains that SVG files are XML documents rather than passive bitmap images. While scripts inside SVG do not execute when the SVG is rendered through a normal <img>, they can execute when the SVG is navigated to directly or embedded as a document. In that case, malicious <script> elements, event handlers, or javascript: URLs execute on the MISP origin with the viewer’s session. The affected use cases include: - organisation SVG logos; - event-report SVG pictures. Importantly, the vulnerable behavior is on the serve path, not merely the upload path: the patch notes that a malicious SVG uploaded while SVG support was enabled could remain dangerous even after uploads were later disabled. Version affected: ≤2.5.45

Details NVD

CVE-2026-91846NONE

EPSS 0.2%

Affected versions of MISP allow a collection element to be created from a bare UUID without consistently checking whether the acting user is allowed to access the referenced object. The commit explains that collection elements themselves only store UUIDs, while the collection view later resolves those UUIDs into their underlying objects. Before this fix, the generic add() path could therefore persist a UUID for an Event or Galaxy Cluster that the caller could not normally read. The patch explicitly notes that this made collections a way to reference another organisation’s private data and had caused disclosure of organisation-only events in the beta collection view. The fix centralizes authorization in __assertCanUseElements(). Event UUIDs are validated through Event::fetchSimpleEvent() under the current user’s ACL, while Galaxy Cluster UUIDs are checked through GalaxyCluster::fetchGalaxyClusters(). The check is applied both to the CRUD add() path and to addElementToCollection(). Version affected: ≤2.5.45

Details NVD

CVE-2026-90893NONE

EPSS 0.2%

MISP contains a Cross-Site Request Forgery (CSRF) vulnerability in the UserSettingsController. The actions setTheme, setHomePage, and eventIndexColumnToggle were explicitly added to the Security component's unlockedActions list, which disabled all CSRF validation (both token and field-hash checks) for those endpoints. Because these endpoints accept POST requests and modify per-user application state (theme selection, default homepage URL, and event index column visibility), an attacker who can induce a logged-in MISP user to load a malicious page (e.g., via a crafted link, embedded image, or auto-submitting form) can forge requests that alter the victim's settings without their knowledge or consent. The most impactful action is setHomePage, which allows an attacker to redirect the victim's default landing page to an arbitrary attacker-controlled URL, potentially facilitating phishing or further social engineering. The setTheme action can alter the user's visual theme, and eventIndexColumnToggle can change which columns are displayed in the event index view. No authentication bypass is involved; the victim must already be authenticated to MISP. The vulnerability was reported by the Scottish Government National Cyber Team. Version affected: ≤2.5.45

Details NVD

CVE-2026-90895NONE

EPSS 0.2%

Affected versions of MISP’s interactive CLI shell implement access control independently from the normal web application, causing several authorization inconsistencies. The patch shows that CLI access could differ from the web application in multiple security-sensitive areas: - feed listings did not enforce the same lookup_visible restrictions for non-host-organisation users; - feed detail access did not enforce the same host-organisation/site-admin authorization as FeedsController::view(); - Feed.headers, which can contain HTTP authorization credentials, could be exposed instead of being hidden or masked; - server synchronization authkey values were not explicitly hidden from CLI detail output; - sharing-group detail access did not consistently use SharingGroup::checkIfAuthorised(); - the use command could establish context for a record without first proving that the user was authorized to view that record The commit additionally hardens pagination and terminal rendering, including neutralization of terminal control sequences found in database-backed values. Those are important hardening changes, but the main vulnerability is the CLI authorization/data-disclosure mismatch. Version affected: ≤2.5.45

Details NVD

CVE-2026-90955NONE

EPSS 0.1%

Affected versions of MISP’s interactive CLI shell do not reliably preserve the identity of the impersonated MISP user across audit logging. The shell is designed to run actions as a supplied MISP user ID. However, the legacy SysLogLogable behavior stored that identity in behavior-instance state that could be overwritten when another model lazily attached the shared behavior. Consequently, subsequent CLI writes could lose the intended user attribution and be logged incorrectly. The commit also notes that CLI-originated records lacked a CLI marker, making them appear similar to ordinary web actions by that user. Version affected: ≤2.5.45

Details NVD