CVE-2026-91857 in MISP
Resumen
por VulDB • 2026-09-15
Las versiones afectadas de MISP exponen varias acciones del controlador que modifican el estado sin restringirlas al método POST.
Las acciones afectadas son:
- EventReportsController::purgeUnusedPictures() - NoticelistsController::enableNoticelist() - ServersController::removeOrphanedCorrelations() - WorkflowsController::rebuildRedis()
El parche añade allowMethod(['post']) a cada acción, impidiendo que se activen mediante solicitudes GET ordinarias.
Para purgeUnusedPictures(), la interfaz de usuario correspondiente utilizaba previamente $.get(). La corrección convierte esa solicitud a POST y proporciona X-CSRF-Token, mientras que el controlador habilita la validación CSRF solo por cabecera para dicha acción AJAX.
Dado que las solicitudes GET pueden inducirse cross-origin mediante enlaces, imágenes, redirecciones o navegación, aceptar GET para estas operaciones que modifican el estado puede permitir a un atacante activarlas utilizando la sesión del usuario autenticado.
Versión afectada: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.