CVE-2026-73162 in cti-transmute
Zusammenfassung
von VulDB • 11.08.2026
Betroffene Versionen von MISP cti-transmute exponieren mehrere zustandsändernde Kontobetriebsarten als GET-Anfragen:
* /account/follow
* /account/delete_notification
* /account/mark_notification_read
* /account/mark_all_read
Diese Endpunkte erfordern eine Authentifizierung, konnten jedoch vor der Korrektur mit einfachen GET-Anfragen aufgerufen werden. Dies macht sie anfällig für Cross-Site Request Forgery (CSRF), da eine Drittanbieter-Website den Browser des Opfers dazu bringen kann, automatisch authentifizierte GET-Anfragen zu senden.
Der Patch konvertiert die Aktionen in POST oder DELETE und aktualisiert das Frontend so, dass es einen X-CSRFToken-Header einschließt, wodurch für diese zustandsändernden Vorgänge ein expliziter CSRF-Schutz bereitgestellt wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.