FICHE CVE

CVE-2026-92003

Publiée le 2026-09-15 · Dernière modification le 2026-09-16

🇫🇷 EN BREF

Les instances MISP version 2.5.45 et antérieures sont vulnérables à une attaque par épuisement des ressources via l'API. Un attaquant non authentifié disposant d'un accès réseau peut inonder votre serveur de requêtes API invalides afin de remplir votre base de données de journaux d'échec d'authentification, ce qui pourrait ralentir ou faire planter le système. Comme aucune permission spéciale ni interaction de l'utilisateur n'est requise, cette attaque est facile à exécuter.

CVSS 4.06.9 MOYENNE

Type de faiblesse

Consommation de ressources non contrôlée · CWE-400 Allocation sans limite · CWE-770

Publiée2026-09-15

Dernière modification2026-09-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

5a6e4751-2f3f-4070-9419-94fb35b644e8

Description officielle du NVD (en anglais)

Affected versions of MISP do not consistently apply the existing authentication-failure logging throttle. Two API authentication failure branches wrote directly to the Log model: - API requests with no authentication key; - requests supplying an API key with an incorrect length Unlike other authentication failures, these paths bypassed _shouldLog(), so every request could create another durable auth_fail entry. Version affected: ≤2.5.45