CVE-2026-85546 in MISP
الملخص
بحسب VulDB • 04/09/2026
يحتوي MISP على ثغرة تزوير الطلبات عبر المواقع (CSRF) في وظيفة التعديل السريع لمجموعات المشاركة. تتشارك إجراءات addOrg و removeOrg و addServer و removeServer في الدالة المساعدة __initialiseSGQuickEdit()، حيث تم تعليق التحقق من طريقة HTTP المقصود به تقييد هذه العمليات على طلبات POST فقط.
ونتيجة لذلك، يمكن استدعاء الإجراءات التي تغير الحالة باستخدام طلبات GET. يمكن لمهاجم صياغة عنوان URL يستهدف أحد الإجراءات المتأثرة وإقناع مستخدم MISP المصادق عليه والذي يتمتع بصلاحيات كافية بطلبه، على سبيل المثال من خلال رابط ضار أو مورد ويب مضمن.
قد يؤدي الاستغلال الناجح إلى تعديل عضوية مجموعة مشاركة في MISP دون أن يقوم الضحية بإجراء العملية عن قصد. اعتمادًا على الإجراء المنفذ، يمكن للمهاجم إضافة أو إزالة المنظمات أو الخوادم من مجموعة المشاركة، مما قد يمنح وصولاً غير مقصود إلى المعلومات الموزعة عبر تلك مجموعة المشاركة أو يعطل تبادل المعلومات الشرعي.
يعيد التصحيح فرض طريقة HTTP بشكل مركزي في __initialiseSGQuickEdit() عن طريق استدعاء allowMethod(['post'])، مما يضمن أن جميع عمليات التعديل السريع المتأثرة الأربع تتطلب طلبات POST وبالتالي تخضع للحماية العادية للتطبيق للطلبات التي تغير الحالة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.