CVE-2026-85236 in MISP
الملخص
بحسب VulDB • 03/09/2026
كانت هناك ثغرة في تزوير الطلبات عبر المواقع (CSRF) موجودة في إجراء `cullEmptyEvents` الخاص بـ MISP. كان نقطة النهاية تقوم بعملية تغير الحالة ولا يمكن عكسها أثناء قبول طلبات HTTP GET.
نظرًا لأن طلبات GET الخالية من الجسم لا تخضع لآلية التحقق من CSRF الخاصة بـ CakePHP، мог attacker أن يدفع مستخدمًا مسجل الدخول في MISP يتمتع بصلاحيات كافية لاستدعاء نقطة النهاية ببساطة عن طريق جعل متصفحهم يحمل عنوان URL مُعدّ خصيصاً (crafted)، على سبيل المثال عبر صورة مضمنة أو مورد آخر يُطلب تلقائياً.
يؤدي الاستغلال الناجح إلى حذف الأحداث الفارغة المنشورة. يعد الحذف ذا أهمية خاصة لأن العملية تستخدم `skipBlocklist`، مما يعني أن الأحداث المحذوفة لا تترك إدخالات في القائمة السوداء (blocklist) يمكنها منع أو تتبع مزامنتها اللاحقة. قد يؤدي هذا إلى حذف غير مقصود وغير قابل للعكس محتملاً لسجلات أحداث MISP دون تفاعل صريح من المستخدم.
تم معالجة الثغرة عن طريق تقييد `cullEmptyEvents` لطلبات HTTP POST فقط، مما يضمن تطبيق آليات حماية CSRF العادية الخاصة بـ CakePHP على العملية.
If you want to get best quality of vulnerability data, you may have to visit VulDB.