CVE-2026-86452

7.5

MISP Uncontrolled Resource Consumption Vulnerability

CVSS: 7.5, alto alta CVSS v3.1
EPSS, prossimi 30 giorni: 0.5% superiore al 44.3% delle CVE con punteggio
Sfruttamento: Nessuna prova pubblica
Pubblicata: 7 set 2026un mese fa

Descrizione

Affected versions of MISP permit unauthenticated or weakly constrained request paths to perform persistent work without adequate input bounds or rate limiting. The users/forgot password-reset endpoint accepted an attacker-controlled email value without first imposing a reasonable length bound or validating its format. That value was then used to create an audit log entry and queue a password-reset job, causing the supplied value to be persisted more than once per request. The commit explicitly states that an unbounded unauthenticated request field was stored twice per call with no throttle. The fix adds: - a maximum email input length of 1024 bytes; - email-format validation before persistent work; - a per-source pre-authentication request budget; - HTTP 429 responses when that budget is exceeded; - a 15-minute cooldown for API-access request emails; - POST-only handling and CSRF protection for the API-access request endpoint. The new flood filter is specifically intended to limit persistent storage costs from anonymous requests such as password resets, registrations, and failed REST authentication attempts. Version affected: ≤2.5.45

Dettagli

Vendor: MISP
Prodotto: MISP
Debolezza: CWE-400 (si apre in una nuova scheda)
Stato: Modificata
Aggiornata: 14 set 2026
Assegnata da: 5a6e4751-2f3f-4070-9419-94fb35b644e8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Riferimenti 1

Patch e correzioni 1

github.com /MISP/MISP/commit/d75d899be (si apre in una nuova scheda)

Il tipo è ricavato dai tag di NVD dove ci sono, altrimenti dalla forma dell'URL: consideratelo un indizio.

Altre CVE di MISP

Tutte le CVE di MISP che abbiamo

Stesso vendor in ciò che abbiamo, non un legame noto fra le falle.

CVE-2026-86419 MISP Exposure of Sensitive Information Vulnerability EPSS 0.4% 9.1, critico
CVE-2026-85216 MISP contains an authentication bypass vulnerability in its LDAP and LinOTP authentication components due to insufficient validation of… EPSS 0.9% 9.8, critico
CVE-2026-85221 MISP contains an improper TLS certificate validation vulnerability in CurlClient EPSS 0.3% 9.1, critico
CVE-2026-85236 misp Cross-Site Request Forgery Vulnerability EPSS 0.3% 8.8, alto
CVE-2026-85237 A vulnerability in MISP's email-based one-time password (OTP) authentication flow allowed an attacker to perform an unrestricted number… EPSS 0.5% 8.1, alto

Oltre questa pagina

CVE-2026-86452 è nella vostra rete?

Questa pagina vi dice quanto è pericolosa CVE-2026-86452 in circolazione. Se si trova su uno dei vostri dispositivi, può dirlo solo una scansione della vostra rete. È quello che i nostri sistemi fanno ogni giorno per le aziende che proteggiamo.

EXYS7600 OCELOT

Trovarla prima degli attaccanti

Ocelot scansiona la vostra rete a intervalli pianificati e segnala ogni vulnerabilità che trova con il suo identificativo CVE, il punteggio CVSS e quanti dei vostri host sono interessati. Un risultato come CVE-2026-86452 arriva con i dispositivi da aggiornare.
Scoprite EXYS7600 OCELOT
EXYS7950 KONDRA

Rilevarla se viene sfruttata

Finché la patch non è installata, Kondra sorveglia rete, eventi ed endpoint in tempo reale. Tiene l'inventario del software installato su ogni endpoint, e le sue regole di rilevamento delle anomalie segnalano cosa fa un attaccante una volta entrato.
Scoprite EXYS7950 KONDRA

Verifica l'esposizione

Dati compilati dall'API NVD 2.0, dal catalogo CISA Known Exploited Vulnerabilities e da FIRST EPSS. I punteggi si riferiscono alla nostra ultima raccolta del 17 ott 2026, non allo stato attuale delle fonti.