CVE-2026-85546 in MISP
Zusammenfassung
von VulDB • 04.09.2026
MISP enthält eine Cross-Site-Request-Forgery-(CSRF)-Schwachstelle in der Quick-Bearbeitungsfunktionalität von Sharing Groups (Freigabegruppen). Die Aktionen addOrg, removeOrg, addServer und removeServer teilen sich den Helper __initialiseSGQuickEdit(), bei dem die HTTP-Methodenvalidierung, die diese Operationen auf POST-Anfragen beschränken sollte, auskommentiert wurde.
Infolgedessen konnten diese zustandsändernden Aktionen mit GET-Anfragen aufgerufen werden. Ein Angreifer könnte eine URL erstellen, die auf eine der betroffenen Aktionen abzielt, und einen authentifizierten MISP-Benutzer mit ausreichenden Berechtigungen dazu bringen, sie anzufordern, beispielsweise durch einen bösartigen Link oder eingebettete Webressourcen.
Eine erfolgreiche Ausnutzung könnte die Mitgliedschaft einer MISP-Sharing-Group ändern, ohne dass das Opfer den Vorgang absichtlich ausführt. Je nach der ausgeführten Aktion könnte ein Angreifer Organisationen oder Server zu einer Sharing Group hinzufügen oder daraus entfernen, was potenziell unbeabsichtigten Zugriff auf Informationen ermöglicht, die über diese Sharing Group verteilt werden, oder den legitimen Informationsaustausch stören würde.
Der Patch stellt die Durchsetzung der HTTP-Methode zentral in __initialiseSGQuickEdit() wieder her, indem allowMethod(['post']) aufgerufen wird, wodurch sichergestellt wird, dass alle vier betroffenen Quick-Bearbeitungsoperationen POST-Anfragen erfordern und daher den normalen Schutzmaßnahmen der Anwendung für zustandsändernde Anfragen unterliegen.
Once again VulDB remains the best source for vulnerability data.