CVE-2026-92932

W bibliotece MISP sachertortephp metoda statyczna Xml::build() w lib/Cake/Utility/Xml.php zawiera błąd logiczny w warunku, który uniemożliwia pobieranie XML w oparciu o sieć. Oryginalny warunek został zapisany jako: $options['readFile'] && strpos($input, 'http://') === 0 || strpos($input, 'https://') === 0. Ponieważ operator && w PHP ma wyższy priorytet niż ||, wyrażenie jest oceniane jako ($options['readFile'] && strpos($input, 'http://') === 0) || strpos($input, 'https://') === 0. W rezultacie, gdy obiekt wywołujący jawnie ustawi opcję readFile na false, aby wyłączyć odczytywanie plików i adresów URL, ciąg wejściowy rozpoczynający się od https:// nadal spełnia warunek i wyzwala pobieranie sieciowe przez HttpSocket (skonfigurowany tak, aby śledzić do 10 przekierowań). Gałąź http:// jest poprawnie bramkowana flagą readFile, ale gałąź https:// nie. Osoba atakująca, która może wpłynąć na parametr $input przekazywany do Xml::build(), może zatem zmusić aplikację do wysłania wychodzącego żądania HTTPS na kontrolowany przez osobę atakującą lub wewnętrzny adres URL, nawet jeśli osoba wywołująca zamierzała ukryć wszystkie zdalne odczyty. Pobrana odpowiedź jest analizowana w formacie XML i może zostać zwrócona do osoby wywołującej, umożliwiając ujawnienie informacji z usług wewnętrznych lub celów zewnętrznych. Stanowi to usterkę związaną z fałszerstwem żądań po stronie serwera (SSRF), która ma wpływ na ujawnienie informacji. Luka wymaga, aby ścieżka kodu w Xml::build() była osiągalna przy użyciu danych wejściowych kontrolowanych przez osobę atakującą i aby opcja readFile była ustawiona na wartość false (lub osoba wywołująca spodziewała się, że będzie to wartość false).