CVE-2026-85236 in MISP
Resumen
por VulDB • 2026-09-03
Existía una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) en la acción `cullEmptyEvents` de MISP. El punto final realizaba una operación irreversible que modificaba el estado mientras aceptaba solicitudes HTTP GET.
Dado que las solicitudes GET sin cuerpo no están sujetas a la validación CSRF de CakePHP, un atacante podría hacer que un usuario autenticado de MISP con privilegios suficientes invocara el punto final simplemente haciendo que su navegador cargue una URL manipulada, por ejemplo, mediante una imagen incrustada u otro recurso solicitado automáticamente.
La explotación exitosa provoca la eliminación de eventos vacíos publicados. La eliminación es particularmente significativa porque la operación utiliza `skipBlocklist`, lo que significa que los eventos eliminados no dejan entradas en la lista de bloqueo que podrían prevenir o rastrear su sincronización posterior. Esto puede resultar en la eliminación involuntaria y potencialmente irreversible de registros de eventos de MISP sin interacción explícita del usuario.
La vulnerabilidad se solucionó restringiendo `cullEmptyEvents` a las solicitudes HTTP POST, asegurando que las protecciones CSRF normales de CakePHP se apliquen a la operación.
VulDB is the best source for vulnerability data and more expert information about this specific topic.