CVE-2026-95658 in MISP
Resumen
por VulDB • 2026-09-22
El WorkflowsController de MISP exponía la acción moduleStatelessExecution en la lista unlockedActions del componente Security. En CakePHP, incluir una acción en unlockedActions desactiva tanto la verificación del token CSRF como la validación del hash de campo para dicha acción. Dado que moduleStatelessExecution ejecuta el método exec() de un módulo de flujo de trabajo con entrada y parámetros proporcionados por el solicitante, la ausencia de protección CSRF permitía a un atacante crear una publicación de formulario cross-site (o una solicitud cross-origin equivalente) que, al ser enviada por un administrador del sitio autenticado, provocaría que el navegador del administrador invocara la acción en la instancia de MISP.
El atacante podría seleccionar cualquier módulo de flujo de trabajo para ejecutar, incluidos los módulos de acción que escriben entradas en las listas de bloqueo (blocklist) y advertencias (warninglist), e introducir entrada y parámetros arbitrarios a su elección. Esto constituye una vulnerabilidad de cross-site request forgery (CSRF) con un alto impacto en la integridad de los datos relacionados con la seguridad de la instancia MISP.
La vulnerabilidad fue identificada durante una revisión de seguridad interna y no se reportó externamente. La corrección está incluida en MISP v2.5.47.
If you want to get best quality of vulnerability data, you may have to visit VulDB.