CVE-2026-95754— MISP 登录前TOTP分支禁用用户检查失效漏洞
一分钟漏洞结论
影响对象
MISP MISP
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在 MISP 的 UsersController 的 login() 方法中，用于 TOTP（双因素认证）验证分支的预认证数据库查询在其 SELECT 字段列表中未包含 User.disabled 列。该查询仅选择了 User.password、User.totp 和 User.hotp_counter 字段。当 TOTP 分支后续访问 $unauth_user['User']['disabled'] 时，由于该键在结果集中不存在，会触发 PHP 的 “Undefined array key”（未定义数组键）警告，
可能的 ATT&CK 技术 1 AI
T1078 · Valid Accounts
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-95754 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
MISP: Disabled-user check ineffective in pre-authentication TOTP login branch
来源: CVE Program / CVE List V5
Vulnerability Description
In MISP's UsersController login() method, the pre-authentication database query used for the TOTP (two-factor authentication) verification branch did not include the User.disabled column in its SELECT fields list. The query selected only User.password, User.totp, and User.hotp_counter. When the TOTP branch subsequently accessed $unauth_user['User']['disabled'], the key was absent from the result set, producing a PHP 'Undefined array key' warning and causing the expression to evaluate as null (falsy). As a result, the disabled-user guard in the TOTP branch was effectively a no-op: a disabled, TOTP-enrolled user could proceed to the TOTP verification step rather than being rejected at that point.
The commit message explicitly states this was 'harmless in practice' because the subsequent identify() call re-validates the user and would still reject a disabled account.
The practical security impact is therefore minimal, limited to a very small information-disclosure difference in the login response (a TOTP prompt is presented instead of an immediate rejection) and a PHP warning in application logs.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-95754 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-95754 的情报信息
请登录查看更多情报信息。
CVE-2026-95754 补丁与修复 (1)
同批安全公告 · MISP · 2026-09-22 · 共 19 条
| CVE-2026-95806 | 7.7 HIGH | MISP PHP phar流包装器远程代码执行漏洞 |
| CVE-2026-95658 | 6.9 MEDIUM | MISP工作流模块CSRF漏洞 |
| CVE-2026-95679 | 6.9 MEDIUM | MISP未认证XML盲SSRF漏洞 |
| CVE-2026-95667 | 6.9 MEDIUM | MISP安装程序日志与FIFO文件权限泄露漏洞 |
| CVE-2026-95693 | 5.3 MEDIUM | MISP 伪造上传路径信息泄露漏洞 |
| CVE-2026-95805 | 5.3 MEDIUM | MISP ACLComponent 预览权限绕过漏洞 |
| CVE-2026-95698 | 5.3 MEDIUM | MISP 组织名称路径遍历漏洞 |
| CVE-2026-95671 | 5.3 MEDIUM | MISP 集合接口添加时缺失共享组授权检查 |
| CVE-2026-95685 | 5.3 MEDIUM | MISP 替换报告建议事件报告操作缺失授权漏洞 |
| CVE-2026-95674 | 5.3 MEDIUM | MISP EventsController queryEnrichment 未验证漏洞 |
| CVE-2026-95683 | 5.3 MEDIUM | MISP Overmind 事件视图绕过报告级ACL漏洞 |
| CVE-2026-95697 | 5.3 MEDIUM | MISP 授权不当致共享组编辑器覆写组织元数据 |
| CVE-2026-95661 | 5.1 MEDIUM | MISP Attribute Histogram反射型跨站脚本漏洞 |
| CVE-2026-95665 | 5.1 MEDIUM | MISP 事件导出确认表单 XSS 漏洞 |
| CVE-2026-95703 | 5.1 MEDIUM | MISP组织控制器文件存在与图像类型漏洞 |
| CVE-2026-95701 | 5.1 MEDIUM | MISP 组织名称路径遍历漏洞 |
| CVE-2026-95659 | 4.8 MEDIUM | MISP AnalystData Overmind线程反射XSS漏洞 |
| CVE-2026-95682 | 4.8 MEDIUM | MISP组织名未转义导致管理邮件视图存储型跨站脚本漏洞 |