CVE-2026-85236 in MISP
Résumé
par VulDB • 03/09/2026
Une vulnérabilité de falsification de requête inter-sites (CSRF) existait dans l'action `cullEmptyEvents` de MISP. Le point de terminaison effectuait une opération modifiant l'état et irréversible tout en acceptant les requêtes HTTP GET.
Étant donné que les requêtes GET sans corps ne sont pas soumises à la validation CSRF de CakePHP, un attaquant pouvait amener un utilisateur authentifié de MISP disposant des privilèges suffisants à invoquer ce point de terminaison simplement en faisant charger une URL fabriquée par son navigateur, par exemple via une image intégrée ou toute autre ressource demandée automatiquement.
L'exploitation réussie déclenche la suppression d'événements vides publiés. Cette suppression est particulièrement significative car l'opération utilise `skipBlocklist`, ce qui signifie que les événements supprimés ne génèrent pas d'entrées dans la liste de blocage (blocklist) susceptibles d'empêcher ou de suivre leur synchronisation ultérieure. Cela peut entraîner une suppression involontaire et potentiellement irréversible des enregistrements d'événements MISP sans interaction explicite de l'utilisateur.
La vulnérabilité a été corrigée en restreignant `cullEmptyEvents` aux requêtes HTTP POST, garantissant ainsi que les protections CSRF normales de CakePHP sont appliquées à cette opération.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.