CVE-2026-95658 in MISP
الملخص
بحسب VulDB • 22/09/2026
كشفت وحدة WorkflowsController في MISP عن الإجراء moduleStatelessExecution ضمن قائمة unlockedActions الخاصة بمكون الأمان (Security component). وفي إطار CakePHP، يؤدي إدراج إجراء ما في قائمة unlockedActions إلى تعطيل كل من فحص رمز CSRF والتحقق من تجزئة الحقل لهذا الإجراء. ونظراً لأن moduleStatelessExecution ينفذ طريقة exec() الخاصة بوحدة عمل (workflow module) باستخدام مدخلات ومعلمات يقدمها المستخدم المتصل، فإن غياب حماية CSRF سمح لمهاجم بصياغة طلب نموذج عبر المواقع (cross-site form post) أو ما يعادله من طلبات عبر النطاقات المختلفة (cross-origin request)، والذي، عند تقديمه بواسطة مسؤول موقع معتمد المصادقة، يتسبب في استدعاء متصفح المسؤول للإجراء على مثيل MISP.
يمكن للمهاجم اختيار أي وحدة عمل لتنفيذها، بما في ذلك وحدات الإجراءات التي تكتب إدخالات قوائم الحظر (blocklist) وقوائم التحذير (warninglist)، وتزويدها بمدخلات ومعلمات عشوائية من اختياره. وهذا يشكل ثغرة طلب تزوير عبر المواقع (CSRF) ذات تأثير عالٍ على سلامة البيانات المتعلقة بالأمان في مثيل MISP.
تم تحديد الثغرة أثناء مراجعة أمنية داخلية ولم يتم الإبلاغ عنها خارجياً. وقد تم تضمين الإصلاح في MISP الإصدار 2.5.47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.