CVE-2026-85546 in MISP
Riassunto
di VulDB • 04/09/2026
MISP presenta una vulnerabilità di cross-site request forgery (CSRF) nella funzionalità di modifica rapida dei gruppi di condivisione. Le azioni addOrg, removeOrg, addServer e removeServer condividono il helper __initialiseSGQuickEdit(), in cui la convalida del metodo HTTP, destinata a limitare queste operazioni alle richieste POST, è stata commentata.
Di conseguenza, tali azioni che modificano lo stato potrebbero essere inviate utilizzando richieste GET. Un attaccante potrebbe creare un URL mirato a una delle azioni interessate e indurre un utente MISP autenticato con privilegi sufficienti a richiederlo, ad esempio tramite un link malevolo o una risorsa web incorporata.
Un'esecuzione riuscita dell'exploit potrebbe modificare l'appartenenza di un gruppo di condivisione MISP senza che la vittima esegua intenzionalmente l'operazione. A seconda dell'azione eseguita, un attaccante potrebbe aggiungere o rimuovere organizzazioni o server da un gruppo di condivisione, potenzialmente concedendo accesso non previsto alle informazioni distribuite tramite tale gruppo di condivisione o interrompendo la legittima condivisione delle informazioni.
La patch ripristina il rispetto del metodo HTTP in modo centralizzato in __initialiseSGQuickEdit() chiamando allowMethod(['post']), assicurandosi che tutte e quattro le operazioni rapide interessate richiedano richieste POST e siano quindi soggette alle normali protezioni dell'applicazione per le richieste che modificano lo stato.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.