CVE-2026-93295— MISP 后台任务参数注入致远程代码执行漏洞
一分钟漏洞结论
影响对象
misp misp
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
MISP 的背景任务分发机制中存在一个漏洞，允许以 Web 用户身份执行远程代码。背景任务的参数会直接作为 CakePHP 控制台进程的 传入。CakePHP 的 方法会扫描整个 中的路径相关参数（如 、 、 、 、 、 、 、 ），并将后续元素用作应用程序根目录。 接口会将用户可控的字段（ 和 ）未经校验地传入任务参数。攻击者只需提交联系表单，即可将 字段设为保留开关（例如 ），并将 字段设为指向恶意归档文件的 URI。随后，CakePHP 引导程序会从该归档文件中包含 ，从而执行攻击者控制的 PHP 代码，其权
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-93295 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
MISP Background Job Argument Injection via Console Path Switches Enables Remote Code Execution
来源: CVE Program / CVE List V5
Vulnerability Description
MISP contains a vulnerability in its background job dispatch mechanism that allows remote code execution as the web user. Background job arguments are passed directly as the argv of the CakePHP console process. CakePHP's ShellDispatcher::_parsePaths() scans the entire argv for path switches (-app, --app, -working, --working, -root, --root, -webroot, --webroot) and uses the following element as the application root. The events/contact endpoint passes user-controlled fields (message and person) into job arguments without validation. An attacker who can submit the contact form can set the person field to a reserved switch (e.g., -app) and the message field to a phar:// URI pointing to a malicious archive. The CakePHP bootstrap then includes Config/core.php from within that archive, executing attacker-controlled PHP code with the privileges of the web user. The vulnerability requires the ability to submit the events/contact form (or any other endpoint that forwards user input into background job arguments). No special timing or race condition is required; the attack is deterministic once the crafted parameters are accepted. The impact is full remote code execution in the context of the MISP web server process, allowing data exfiltration, persistence, and lateral movement within the host.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
输出中的特殊元素转义处理不恰当(注入)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-93295 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-93295 的情报信息
请登录查看更多情报信息。
CVE-2026-93295 其他参考 (1)
同批安全公告 · misp · 2026-09-17 · 共 3 条
| CVE-2026-92932 | 5.1 MEDIUM | MISP Xml::build操作符优先级绕过导致HTTPS SSRF |
| CVE-2026-93296 | 5.1 MEDIUM | MISP Overmind 存储型XSS漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-93295
暂无评论