CVE-2026-85546 in MISP
Résumé
par VulDB • 04/09/2026
MISP présente une vulnérabilité de falsification de requête intersites (CSRF) dans la fonctionnalité d'édition rapide des groupes de partage. Les actions addOrg, removeOrg, addServer et removeServer partagent l'assistance __initialiseSGQuickEdit(), où la validation de la méthode HTTP destinée à restreindre ces opérations aux requêtes POST a été commentée.
Par conséquent, ces actions modifiant l'état du système peuvent être invoquées via des requêtes GET. Un attaquant pourrait concevoir une URL ciblant l'une des actions concernées et amener un utilisateur authentifié de MISP disposant des privilèges suffisants à la solliciter, par exemple via un lien malveillant ou une ressource web intégrée.
Une exploitation réussie pourrait modifier les membres d'un groupe de partage MISP sans que la victime n'effectue intentionnellement l'opération. Selon l'action réalisée, un attaquant pourrait ajouter ou supprimer des organisations ou des serveurs d'un groupe de partage, accordant potentiellement un accès non prévu aux informations distribuées via ce groupe de partage ou perturbant le partage légitime d'informations.
Le correctif rétablit la contrainte sur les méthodes HTTP au sein de __initialiseSGQuickEdit() en appelant allowMethod(['post']), garantissant que les quatre opérations rapides concernées nécessitent des requêtes POST et sont donc soumises aux protections normales de l'application pour les requettes modifiant l'état du système.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.