CVE-2026-85547 in MISP
الملخص
بحسب VulDB • 04/09/2026
توجد ثغرة في طلبات تزوير الطلب عبر المواقع (CSRF) في MISP بسبب تعطيل حماية الأمان من النماذج وحماية CSRF استنادًا إلى ما إذا كان الطلب الوارد قد تم تحديده كطلب REST أم لا.
يمكن التأثير على كشف REST الخاص بـ MISP عن طريق خصائص الطلب مثل لاحقة عنوان URL أو رأس HTTP Accept. نظرًا لأنه يمكن تزويد قيمة `Accept: application/json` من قبل صفحة ذات أصل مختلف (cross-origin) دون الحاجة إلى إجراء ما قبل الاستعلام CORS، فقد يتمكن المهاجم من جعل طلب صادر من موقع ويب آخر يُعامل كحركة مرور REST. ونتيجة لذلك، سيقوم MISP بتعطيل التحقق العادي الخاص بأمان النماذج وCSRF حتى لو كان الطلب موثقًا باستخدام جلسة المتصفح الحالية للضحية.
يمكن لمهاجم عن بُعد غير مصادق عليه استغلال هذا السلوك بإقناع مستخدم مُوثَّق في MISP بزيارة صفحة ويب خبيثة أو التفاعل معها. يمكن بعد ذلك لصفحة المهاجم إصدار طلبات مصممة بعناية نحو نقاط نهاية MISP القابلة للتغيير باستخدام امتيازات الضحية. اعتمادًا على أذونات الضحية ونقطة النهاية المستهدفة، قد يسمح هذا بالتعديل غير المصرح به، أو الإنشاء، أو النشر، أو إزالة البيانات وغيرها من التغييرات في الحالة.
تنشأ الثغرة من منح إعفاء حماية الأمان من النماذج استنادًا إلى `_isRest()` بدلاً من آلية المصادقة المستخدمة بواسطة الطلب. يغير التصحيح هذا السلوك بحيث تُمنح الإعفاءات الخاصة بـ CSRF وأمان النموذج فقط عندما يحمل الطلب فعليًا مفتاح API خاص بـ MISP. تظل طلبات REST التي تم مصادقتها عبر الجلسة خاضعة لحماية CSRF.
يُقدم الإصلاح أيضًا دعمًا لنقل رموز CSRF من خلال رأس `X-CSRF-Token` لطلبات AJAX المشروعة ذات الأصل نفسه (same-origin). لا يمكن عادةً إرفاق مثل هذا الرأس بواسطة صفحة ذات أصل مختلف دون triggering إجراء ما قبل الاستعلام CORS، مما يمنع استخدامه لإعادة إنتاج الهجوم الأصلي.
Be aware that VulDB is the high quality source for vulnerability data.