CVE-2026-90893 in MISP
الملخص
بحسب VulDB • 14/09/2026
يحتوي نظام MISP على ثغرة تزوير الطلبات عبر المواقع (CSRF) في وحدة التحكم UserSettingsController. تمت إضافة الإجراءات setTheme وsetHomePage وeventIndexColumnToggle صراحةً إلى قائمة unlockedActions الخاصة بمكون الأمان، مما أدى إلى تعطيل جميع عمليات التحقق من CSRF (بما في ذلك فحوصات الرمز المميز وحقل التجزئة) لهذه النقاط النهائية. ونظراً لأن هذه النقاط النهائية تقبل طلبات POST وتعدل حالة التطبيق الخاصة بكل مستخدم (اختيار السمة، وعنوان الصفحة الرئيسية الافتراضي، ورؤية أعمدة فهرس الأحداث)، يمكن لمهاجم قادر على إغراء مستخدم MISP مسجل الدخول لتحميل صفحة خبيثة (على سبيل المثال، عبر رابط مُصمم بشكل ضار أو صورة مضمنة أو نموذج يتم إرساله تلقائياً) أن يزور طلبات تغير إعدادات الضحية دون علمهم أو موافقتهم. يعد إجراء setHomePage الأكثر تأثيراً، حيث يسمح للمهاجم بإعادة توجيه الصفحة الرئيسية الافتراضية للضحية إلى عنوان URL يتحكم فيه المهاجم بشكل تعسفي، مما قد يسهل عمليات التصيد الاحتيالي أو الهندسة الاجتماعية الإضافية. يمكن لإجراء setTheme تغيير السمة البصرية للمستخدم، ويمكن لـ eventIndexColumnToggle تغيير الأعمدة المعروضة في عرض فهرس الأحداث. لا تتضمن الثغرة تجاوزاً للمصادقة؛ يجب أن يكون الضحية قد تم مصادقته بالفعل على MISP. أبلغ عن هذه الثغرة الفريق الوطني للأمن السيبراني التابع للحكومة الاسكتلندية.
الإصدار المتأثر: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.