CVE-2026-85547 in MISP
Résumé
par VulDB • 04/09/2026
Une vulnérabilité de falsification de requête inter-sites (CSRF) existe dans MISP car les protections liées à la sécurité des formulaires et au CSRF sont désactivées en fonction du fait qu'une demande entrante soit identifiée comme une demande REST.
La détection REST par MISP peut être influencée par des propriétés de la requête, telles que le suffixe d'URL ou l'en-tête HTTP Accept. Étant donné qu'un client peut fournir `Accept: application/json` depuis une page cross-origin sans nécessiter un prévol CORS (CORS preflight), un attaquant pourrait faire en sorte qu'une demande provenant d'un autre site web soit traitée comme du trafic REST. MISP désactiverait par conséquent ses validations normales de sécurité des formulaires et de CSRF, bien que la requête ait été authentifiée à l'aide de la session navigateur existante de la victime.
Un attaquant distant non authentifié pourrait exploiter ce comportement en convaincant un utilisateur authentifié de MISP de visiter ou d'interagir avec une page web malveillante. La page de l'attaquant pourrait ensuite émettre des requêtes fabriquées vers les points de terminaison sensibles aux modifications d'état de MISP, en utilisant les privilèges de la victime. Selon les permissions de la victime et le point de terminaison ciblé, cela pourrait permettre une modification non autorisée, une création, une publication ou une suppression de données, ainsi que d'autres changements d'état.
La vulnérabilité provient du fait que l'exemption de sécurité des formulaires est accordée sur la base de `_isRest()` plutôt qu'en fonction du mécanisme d'authentification utilisé par la requête. Le correctif modifie ce comportement afin que les exemptions CSRF et de sécurité des formulaires ne soient accordées que lorsque la requête contient effectivement une clé API MISP. Les demandes REST authentifiées via session restent soumises à la protection CSRF.
La correction introduit également le support pour la transmission des jetons CSRF via l'en-tête `X-CSRF-Token` pour les requêtes AJAX légitimes de même origine (same-origin). Un tel en-tête ne peut normalement pas être joint par une page cross-origin sans déclencher un prévol CORS, empêchant ainsi son utilisation pour reproduire la attaque initiale.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.