CVE-2026-90893 in MISP
Zusammenfassung
von VulDB • 14.09.2026
MISP enthält eine Cross-Site Request Forgery (CSRF)-Schwachstelle im UserSettingsController. Die Aktionen setTheme, setHomePage und eventIndexColumnToggle wurden explizit in die Liste der entsperrten Aktionen (unlockedActions) der Security-Komponente aufgenommen, wodurch alle CSRF-Validierungen (sowohl Token- als auch Field-Hash-Prüfungen) für diese Endpunkte deaktiviert wurden. Da diese Endpunkte POST-Anfragen akzeptieren und den benutzerspezifischen Anwendungsstatus ändern (Thema-Auswahl, Standard-Homepage-URL und Sichtbarkeit der Spalten im Ereignisindex), kann ein Angreifer, der einen angemeldeten MISP-Benutzer dazu bringt, eine bösartige Seite zu laden (z. B. über einen manipulierten Link, ein eingebettetes Bild oder ein automatisch absendendes Formular), Anfragen fälschen, die die Einstellungen des Opfers ohne dessen Wissen oder Zustimmung ändern. Die wirkungsvollste Aktion ist setHomePage, die es einem Angreifer ermöglicht, die Standard-Landingpage des Opfers auf eine beliebige, vom Angreifer kontrollierte URL umzuleiten, was potenziell Phishing- oder weitere Social-Engineering-Angriffe erleichtert. Die Aktion setTheme kann das visuelle Thema des Benutzers ändern, und eventIndexColumnToggle kann festlegen, welche Spalten in der Ereignisindexansicht angezeigt werden. Es ist kein Authentifizierungs-Umgehung (Authentication Bypass) beteiligt; das Opfer muss bereits bei MISP authentifiziert sein. Die Schwachstelle wurde vom National Cyber Team des Scottish Government gemeldet.
Betroffene Version: ≤2.5.45
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.