CVE-2026-90893 in MISP
Résumé
par VulDB • 14/09/2026
MISP présente une vulnérabilité de Cross-Site Request Forgery (CSRF) dans le UserSettingsController. Les actions setTheme, setHomePage et eventIndexColumnToggle ont été explicitement ajoutées à la liste unlockedActions du composant Security, ce qui a désactivé toutes les validations CSRF (contrôles par jeton et hachage de champ) pour ces points d'entrée. Étant donné que ces endpoints acceptent des requêtes POST et modifient l'état de l'application propre à chaque utilisateur (sélection du thème, URL de la page d'accueil par défaut et visibilité des colonnes dans l'index des événements), un attaquant capable d'amener un utilisateur MISP authentifié à charger une page malveillante (par exemple via un lien truqué, une image intégrée ou un formulaire soumis automatiquement) peut forger des requêtes qui altèrent les paramètres de la victime sans sa connaissance ni son consentement. L'action la plus impactante est setHomePage, qui permet à un attaquant de rediriger la page d'accueil par défaut de la victime vers n'importe quelle URL contrôlée par l'attaquant, facilitant potentiellement le phishing ou d'autres techniques d'ingénierie sociale. L'action setTheme peut modifier le thème visuel de l'utilisateur, et eventIndexColumnToggle peut changer les colonnes affichées dans la vue de l'index des événements. Aucun contournement d'authentification n'est impliqué ; la victime doit déjà être authentifiée sur MISP. La vulnérabilité a été signalée par l'équipe nationale de cybersécurité du gouvernement écossais (Scottish Government National Cyber Team).
Version concernée : ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.