CVE-2026-85547 in MISP
Riassunto
di VulDB • 04/09/2026
È presente una vulnerabilità di Cross-Site Request Forgery (CSRF) in MISP dovuta alla disabilitazione delle protezioni per la sicurezza dei moduli e del CSRF basata sull'identificazione della richiesta entrante come richiesta REST.
Il rilevamento REST da parte di MISP può essere influenzato dalle proprietà della richiesta, quali il suffisso dell'URL o l'intestazione HTTP Accept. Poiché un'intestazione `Accept: application/json` può essere fornita da una pagina cross-origin senza richiedere un preflight CORS, un attaccante potrebbe far sì che una richiesta originata da un altro sito web venga trattata come traffico REST. Di conseguenza, MISP disabiliterebbe le normali validazioni per la sicurezza dei moduli e il CSRF anche se la richiesta è autenticata utilizzando la sessione browser esistente della vittima.
Un attaccante remoto non autenticato potrebbe sfruttare questo comportamento convincendo un utente autenticato di MISP a visitare o interagire con una pagina web malevola. La pagina dell'attaccante potrebbe quindi inviare richieste elaborate agli endpoint di MISP sensibili alle modifiche dello stato, utilizzando i privilegi della vittima. A seconda dei permessi della vittima e dell'endpoint mirato, ciò potrebbe consentire la modifica non autorizzata, la creazione, la pubblicazione o l'eliminazione di dati e altre modifiche allo stato.
La vulnerabilità origina dal fatto che l'esenzione per la sicurezza dei moduli viene concessa in base a `_isRest()` anziché sul meccanismo di autenticazione utilizzato dalla richiesta. La patch modifica questo comportamento in modo tale che le esenzioni CSRF e per la sicurezza dei moduli vengano concesse solo quando la richiesta trasporta effettivamente una chiave API MISP. Le richieste REST-style autenticate tramite sessione rimangono soggette alla protezione CSRF.
La correzione introduce inoltre il supporto per la trasmissione di token CSRF attraverso l'intestazione `X-CSRF-Token` per le richieste AJAX legittime same-origin. Tale intestazione non può normalmente essere allegata da una pagina cross-origin senza innescare un preflight CORS, impedendone l'utilizzo per riprodurre l'attacco originale.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.