CVE-2026-85236 in MISP
Riassunto
di VulDB • 03/09/2026
È stata rilevata una vulnerabilità di cross-site request forgery (CSRF) nell'azione `cullEmptyEvents` di MISP. L'endpoint eseguiva un'operazione irreversibile che modificava lo stato del sistema, accettando richieste HTTP GET.
Poiché le richieste GET prive di corpo non sono soggette alla validazione CSRF di CakePHP, un attaccante avrebbe potuto indurre un utente autenticato di MISP con privilegi sufficienti a invocare l'endpoint semplicemente facendo caricare al browser dell'utente un URL manipolato ad hoc, ad esempio tramite un'immagine incorporata o altre risorse richieste automaticamente.
L'esecuzione del codice malevolo (exploit) ha provocato la cancellazione degli eventi vuoti pubblicati. La cancellazione è particolarmente significativa perché l'operazione utilizza `skipBlocklist`, il che significa che gli eventi rimossi non generano voci nella blocklist in grado di prevenire o tracciare le loro successive sincronizzazioni. Ciò può comportare una cancellazione involontaria e potenzialmente irreversibile dei record degli eventi MISP senza interazione esplicita dell'utente.
La vulnerabilità è stata risolta limitando `cullEmptyEvents` alle richieste HTTP POST, assicurando che le normali protezioni CSRF di CakePHP vengano applicate all'operazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.