CVE-2026-90955— MISP CLI Shell 日志丢失用户身份及标记
一分钟漏洞结论
影响对象
MISP MISP
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
MISP 受影响的交互式 CLI Shell 版本在审计日志中无法可靠地保留被模拟的 MISP 用户身份。 该 Shell 设计为以指定的 MISP 用户 ID 执行操作。然而，旧版 SysLogLogable 行为将用户身份存储在行为实例状态中，当其他模型懒加载挂载共享行为时，该身份可能会被覆盖。因此，后续的 CLI 写入操作可能会丢失预期的用户归属信息，并导致日志记录错误。此外，提交说明还指出，源自 CLI 的记录缺少 CLI 标记，使得这些记录在日志中看起来与普通 Web 操作无异。 受影响版本：≤ 2.5.
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-90955 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
MISP CLI Shell Audit Logs Lose User Identity and CLI Marker After First Lazy Model Load
来源: CVE Program / CVE List V5
Vulnerability Description
Affected versions of MISP’s interactive CLI shell do not reliably preserve the identity of the impersonated MISP user across audit logging.
The shell is designed to run actions as a supplied MISP user ID. However, the legacy SysLogLogable behavior stored that identity in behavior-instance state that could be overwritten when another model lazily attached the shared behavior. Consequently, subsequent CLI writes could lose the intended user attribution and be logged incorrectly. The commit also notes that CLI-originated records lacked a CLI marker, making them appear similar to ordinary web actions by that user.
Version affected: ≤2.5.45
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
不充分的日志记录
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-90955 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-90955 的情报信息
请登录查看更多情报信息。
同批安全公告 · MISP · 2026-09-14 · 共 5 条
| CVE-2026-90961 | 9.3 CRITICAL | MISP LdapAuth和LinOTPAuth空凭证认证绕过 |
| CVE-2026-90895 | 8.4 HIGH | MISP 交互式 CLI Shell 授权绕过、凭据暴露及终端注入 |
| CVE-2026-90893 | 5.1 MEDIUM | MISP 用户设置控制器 CSRF 防护绕过漏洞 |
| CVE-2026-90957 | 5.1 MEDIUM | MISP SVG组织标志与报告图片存储型XSS漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-90955
暂无评论