CVE-2026-9084
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka uwierzytelniania OIDC w MISP umożliwiała automatyczne powiązanie tożsamości OIDC z istniejącym lokalnym kontem użytkownika na podstawie adresu e-mail, gdy lokalne konto nie miało zapisanej wartości sub. W niebezpiecznych lub niezaufanych konfiguracjach IdP, gdzie własność e-maila nie jest egzekwowana, atakujący z ważnym tokenem OIDC może podać adres e-mail ofiary i uwierzytelnić się jako ten użytkownik, prowadząc do przejęcia konta.
Ocena ryzyka
Atakujący może przejąć konto użytkownika, jeśli IdP nie weryfikuje własności adresu e-mail, co może prowadzić do kradzieży danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj MISP do wersji, która zawiera poprawkę uniemożliwiającą automatyczne łączenie kont bez weryfikacji. Skonfiguruj IdP tak, aby egzekwował weryfikację własności e-maila.
Oryginalny opis (angielski, źródło NVD)
MISP’s OIDC authentication plugin allowed automatic linking of an OIDC identity to an existing local user account based on the email claim when the local account had no stored sub value. Under insecure or untrusted IdP configurations where email ownership is not enforced, an attacker with a valid OIDC token could assert a victim’s email address and authenticate as that user, leading to account takeover.