CVE-2026-85236 in MISP
Zusammenfassung
von VulDB • 03.09.2026
In der Aktion „cullEmptyEvents“ von MISP bestand eine Cross-Site-Request-Forgery-(CSRF)-Schwachstelle. Der Endpunkt führte eine zustandsändernde und irreversible Operation aus, während er HTTP-GET-Anfragen akzeptierte.
Da bodylose GET-Anfragen nicht der CSRF-Validierung von CakePHP unterliegen, konnte ein Angreifer einen authentifizierten MISP-Benutzer mit ausreichenden Berechtigungen dazu bringen, den Endpunkt aufzurufen, indem sie/er einfach bewirkte, dass deren Browser eine manipulierte URL lädt, beispielsweise durch ein eingebettetes Bild oder andere automatisch angeforderte Ressourcen.
Eine erfolgreiche Auslösung führt zur Löschung von veröffentlichten leeren Events. Die Löschung ist besonders bedeutsam, da die Operation „skipBlocklist“ verwendet, was bedeutet, dass die entfernten Events keine Blocklisteinträge hinterlassen, die deren nachfolgende Synchronisierung verhindern oder verfolgen könnten. Dies kann zu unbeabsichtigten und potenziell irreversiblen Löschungen von MISP-Event-Datensätzen ohne explizite Benutzerinteraktion führen.
Die Schwachstelle wurde behoben, indem „cullEmptyEvents“ auf HTTP-POST-Anfragen beschränkt wurde, wodurch sichergestellt wird, dass die normalen CSRF-Schutzmechanismen von CakePHP für diese Operation angewendet werden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.