CVE-2024-29858

MISP: Nieprawidłowa weryfikacja przesyłanego logo organizacji

CVSS 9.8v3.1pub. 2024-03-21upd. 2026-06-22

W aplikacji MISP przed wersją 2.4.187 funkcja __uploadLogo nie przeprowadza prawidłowej walidacji przesyłanych plików logo. Podatność o krytycznym poziomie CVSS 9.8 umożliwia nieuwierzytelnionemu atakującemu przeprowadzenie ataku zdalnie.

▸ Pokaż oryginał (EN)

In MISP before 2.4.187, __uploadLogo in app/Controller/OrganisationsController.php does not properly check for a valid logo upload.

🤖 Analiza AI

Jak działa

Funkcja __uploadLogo w pliku app/Controller/OrganisationsController.php nie weryfikuje poprawnie, czy przesyłany plik jest rzeczywiście prawidłowym plikiem graficznym. Brak odpowiedniej walidacji (CWE-616 — niepoprawna walidacja przesyłanych plików) pozwala atakującemu na upload pliku o złośliwej zawartości zamiast legalnego obrazu logo. Może to prowadzić do wykonania przesłanego kodu po stronie serwera lub innych działań szkodliwych.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem, w tym poufność, integralność i dostępność danych, co odpowiada maksymalnym wartościom składowych CVSS (C:H/I:H/A:H). Udany atak może skutkować nieautoryzowanym dostępem do danych platformy MISP oraz potencjalnym przejęciem serwera.

Mitygacja

Należy zaktualizować MISP do wersji 2.4.187 lub nowszej. Poprawka dostępna jest w repozytorium GitHub MISP w commicie 6a2986be6aad6b37858b4869e238f517b295c111.