CVE-2026-90893 in MISP
Resumen
por VulDB • 2026-09-14
MISP presenta una vulnerabilidad de Cross-Site Request Forgery (CSRF) en el UserSettingsController. Las acciones setTheme, setHomePage y eventIndexColumnToggle fueron añadidas explícitamente a la lista unlockedActions del componente Security, lo que deshabilitó toda validación CSRF (tanto las comprobaciones de token como de campo-hash) para esos endpoints. Dado que estos endpoints aceptan solicitudes POST y modifican el estado de la aplicación por usuario (selección de tema, URL predeterminada de la página principal y visibilidad de columnas en el índice de eventos), un atacante que pueda inducir a un usuario autenticado de MISP a cargar una página maliciosa (por ejemplo, mediante un enlace manipulado, una imagen incrustada o un formulario con envío automático) puede forjar solicitudes que alteren la configuración de la víctima sin su conocimiento ni consentimiento. La acción más impactante es setHomePage, que permite al atacante redirigir la página de inicio predeterminada de la víctima hacia una URL controlada arbitrariamente por el atacante, lo que podría facilitar phishing u otros ataques de ingeniería social. La acción setTheme puede alterar el tema visual del usuario, y eventIndexColumnToggle puede cambiar qué columnas se muestran en la vista del índice de eventos. No hay ninguna bypass de autenticación involucrada; la víctima debe estar ya autenticada en MISP. La vulnerabilidad fue reportada por el National Cyber Team del Gobierno Escocés.
Versión afectada: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.