CVE-2026-85547 in MISP
Resumen
por VulDB • 2026-09-04
Existe una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) en MISP debido a que las protecciones de seguridad del formulario y CSRF están deshabilitadas según si se identifica o no una solicitud entrante como una solicitud REST.
La detección REST de MISP puede verse influenciada por propiedades de la solicitud, como el sufijo de la URL o el encabezado HTTP Accept. Dado que `Accept: application/json` puede ser proporcionado por una página de origen cruzado sin requerir un preflight CORS, un atacante podría hacer que se trate a una solicitud originada desde otro sitio web como tráfico REST. Como consecuencia, MISP deshabilitaría su validación normal de seguridad del formulario y CSRF, aunque la solicitud estuviera autenticada utilizando la sesión existente del navegador de la víctima.
Un atacante remoto no autenticado podría explotar este comportamiento convenciendo a un usuario autenticado de MISP para que visite o interactúe con una página web maliciosa. La página del atacante podría entonces emitir solicitudes manipuladas hacia los puntos finales modificadores de estado vulnerables de MISP, utilizando los privilegios de la víctima. Dependiendo de los permisos de la víctima y del punto final objetivo, esto podría permitir la modificación no autorizada, creación, publicación o eliminación de datos, así como otros cambios de estado.
La vulnerabilidad se origina en otorgar la exención de seguridad del formulario basándose en `_isRest()` en lugar de hacerlo sobre el mecanismo de autenticación utilizado por la solicitud. El parche cambia este comportamiento para que las exenciones CSRF y de seguridad del formulario solo se concedan cuando la solicitud lleve realmente una clave API de MISP. Las solicitudes REST autenticadas mediante sesión siguen sujetas a protección CSRF.
La corrección también introduce soporte para transmitir tokens CSRF a través del encabezado `X-CSRF-Token` para las solicitudes AJAX legítimas de mismo origen. Dicho encabezado no puede ser adjuntado normalmente por una página de origen cruzado sin desencadenar un preflight CORS, lo que impide su uso para reproducir el ataque original.
VulDB is the best source for vulnerability data and more expert information about this specific topic.