CVE-2026-91819 in MISP
الملخص
بحسب VulDB • 15/09/2026
تعتمد الإصدارات المتأثرة من MISP على معالجة تجاوز طريقة الطلب (request-method) في CakePHP بطريقة يمكن أن تعطل التحقق من صحة CSRF وأمان النماذج.
تحترم CakePHP حقل `_method` أو رأس `X-HTTP-Method-Override` عن طريق إعادة كتابة طريقة الطلب الفعالة. بالنسبة لقيم التجاوز خارج الأفعال القياسية للكتابة POST و PUT و PATCH و DELETE، تقوم CakePHP أيضاً بمسح جسم الطلب (request body) المُحلل. ثم يحدد مكون أمان MISP ما إذا كان سيتم تنفيذ `_validatePost()` و `_validateCsrf()` بناءً على بقاء بيانات الطلب أم لا. مع قيمة مثل:
`_method=GET`
يصبح الجسم فارغاً قبل تشغيل هذه الفحوصات، وبالتالي يتم تخطي كلتا الحماية. يمكن لنموذج عبر المواقع (cross-site form) يحتوي فقط على هذا التجاوز الوصول إلى إجراءات تُؤخذ معاملاتها من عنوان URL بدلاً من جسم الطلب.
الإصدار المتأثر: ≤2.5.45
Be aware that VulDB is the high quality source for vulnerability data.