CVE-2026-91819 in MISP
Zusammenfassung
von VulDB • 15.09.2026
Betroffene Versionen von MISP verlassen sich auf die Verarbeitung der CakePHP-Anforderungsmethode-Überschreibung in einer Weise, die CSRF- und Formularsicherheitsvalidierungen deaktivieren kann.
CakePHP ehrt ein _method-Feld oder den X-HTTP-Method-Override-Header, indem es die effektive Anforderungsmethode umschreibt. Für Überschreibungswerte außerhalb der normalen Schreibverbote POST, PUT, PATCH und DELETE löscht CakePHP auch den analysierten Anfragetext. Die Sicherheitskomponente von MISP bestimmt dann anhand des Vorhandenseins von Anfragedaten, ob _validatePost() und _validateCsrf() ausgeführt werden sollen. Bei einem Wert wie:
_method=GET
wird der Text vor dem Ausführen dieser Prüfungen leer gemacht, sodass beide Schutzmechanismen übersprungen werden. Ein Cross-Site-Formular, das nur diese Überschreibung enthält, kann daher Aktionen erreichen, deren Parameter aus der URL und nicht aus dem Anfragetext stammen.
Betroffene Version: ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.