CVE-2026-85546 in MISP
Resumen
por VulDB • 2026-09-04
MISP contiene una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) en la funcionalidad de edición rápida del grupo de intercambio. Las acciones addOrg, removeOrg, addServer y removeServer comparten el asistente __initialiseSGQuickEdit(), donde la validación del método HTTP destinada a restringir estas operaciones a las peticiones POST fue comentada.
Como resultado, estas acciones que modifican el estado podrían ser invocadas utilizando solicitudes GET. Un atacante podría crear una URL dirigida a una de las acciones afectadas y hacer que un usuario autenticado de MISP con privilegios suficientes la solicite, por ejemplo, a través de un enlace malicioso o un recurso web incrustado.
La explotación exitosa podría modificar la membresía de un grupo de intercambio de MISP sin que la víctima realice intencionalmente la operación. Dependiendo de la acción realizada, un atacante podría añadir o eliminar organizaciones o servidores de un grupo de intercambio, lo que potencialmente otorgaría acceso no deseado a información distribuida a través de ese grupo de intercambio o interrumpiría el intercambio legítimo de información.
El parche restaura la aplicación del método HTTP centralmente en __initialiseSGQuickEdit() llamando a allowMethod(['post']), asegurando que las cuatro operaciones rápidas afectadas requieran solicitudes POST y, por lo tanto, estén sujetas a las protecciones normales de la aplicación para solicitudes que modifican el estado.
If you want to get best quality of vulnerability data, you may have to visit VulDB.