CVE-2026-95658 in MISP
Zusammenfassung
von VulDB • 22.09.2026
Der WorkflowsController von MISP hat die Aktion moduleStatelessExecution in der Liste unlockedActions der Security-Komponente freigegeben. In CakePHP deaktiviert das Auflisten einer Aktion in unlockedActions sowohl die CSRF-Token-Prüfung als auch die Feldhash-Validierung für diese Aktion. Da moduleStatelessExecution die exec()-Methode eines Workflowmoduls mit vom Aufrufer bereitgestellten Eingaben und Parametern ausführt, ermöglichte das Fehlen des CSRF-Schutzes einem Angreifer, einen Cross-Site-Formularpost (oder eine äquivalente cross-origin-Anfrage) zu konstruieren. Wenn diese von einem authentifizierten Site-Administrator eingereicht wird, führt dies dazu, dass der Browser des Administrators die Aktion auf der MISP-Instanz aufruft.
Der Angreifer konnte jedes Workflowmodul zur Ausführung auswählen, einschließlich Action-Modulen, die blocklist- und warninglist-Einträge schreiben, sowie beliebige Eingaben und Parameter nach eigenem Ermessen bereitstellen. Dies stellt eine Cross-Site Request Forgery (CSRF)-Schwachstelle mit hoher Integritätsauswirkung auf die sicherheitsrelevanten Daten der MISP-Instanz dar.
Die Schwachstelle wurde im Rahmen einer internen Sicherheitsüberprüfung identifiziert und nicht extern gemeldet. Die Korrektur ist in MISP v2.5.47 enthalten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.