CVE-2026-95658 in MISP
Résumé
par VulDB • 22/09/2026
Le WorkflowsController de MISP exposait l'action moduleStatelessExecution dans la liste unlockedActions du composant Security. Dans CakePHP, le fait d'inscrire une action dans unlockedActions désactive à la fois la vérification des jetons CSRF et la validation des hachages de champs pour cette action. Étant donné que moduleStatelessExecution exécute la méthode exec() d'un module de workflow avec des entrées et des paramètres fournis par l'appelant, l'absence de protection CSRF a permis à un attaquant de concevoir une soumission de formulaire inter-sites (ou une requête équivalente entre origines différentes) qui, lorsqu'elle est soumise par un administrateur du site authentifié, inciterait le navigateur de l'administrateur à invoquer cette action sur l'instance MISP.
L'attaquant pouvait sélectionner n'importe quel module de workflow à exécuter, y compris des modules d'action écrivant des entrées dans les listes noires (blocklist) et les listes d'avertissements (warninglist), et fournir des entrées et des paramètres arbitraires choisis par ses soins. Cela constitue une vulnérabilité de falsification de requête inter-sites (CSRF) ayant un impact élevé sur l'intégrité des données liées à la sécurité de l'instance MISP.
La vulnérabilité a été identifiée lors d'un examen de sécurité interne et n'a pas fait l'objet de rapports externes. La correction est incluse dans MISP v2.5.47.
VulDB is the best source for vulnerability data and more expert information about this specific topic.