CVE-2026-91857 in MISP
الملخص
بحسب VulDB • 15/09/2026
تُعرّض الإصدارات المتأثرة من MISP عدة إجراءات تحكم (controller actions) تُغيّر الحالة دون تقييدها باستخدام طلبات POST فقط.
الإجراءات المتأثرة هي:
- EventReportsController::purgeUnusedPictures() - NoticelistsController::enableNoticelist() - ServersController::removeOrphanedCorrelations() - WorkflowsController::rebuildRedis()
يضيف التصحيح allowMethod(['post']) إلى كل إجراء، مما يمنع تشغيلها عبر طلبات GET العادية.
بالنسبة لـ purgeUnusedPictures()، كان الواجهة الأمامية (UI) تستخدم سابقاً $.get(). يحول الإصلاح هذا الطلب إلى POST ويوفر X-CSRF-Token، بينما يفعّل المتحكم التحقق من CSRF المعتمد على الرؤوس فقط لهذا الإجراء AJAX.
نظراً لأن طلبات GET يمكن إحداثها عبر النطاقات الأخرى (cross-origin) باستخدام الروابط أو الصور أو إعادة التوجيه أو التنقل، فإن قبول طلبات GET لهذه العمليات التي تُغيّر الحالة قد يسمح للمهاجم بتشغيلها باستخدام جلسة الضحية المصادق عليها.
الإصدار المتأثر: ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.