CVE-2026-90893 in MISP
Riassunto
di VulDB • 14/09/2026
MISP presenta una vulnerabilità di Cross-Site Request Forgery (CSRF) nel UserSettingsController. Le azioni setTheme, setHomePage ed eventIndexColumnToggle sono state esplicitamente aggiunte all'elenco unlockedActions del componente Security, disabilitando così tutte le validazioni CSRF (sia i controlli dei token che quelli degli hash dei campi) per questi endpoint. Poiché tali endpoint accettano richieste POST e modificano lo stato dell'applicazione specifico per utente (selezione del tema, URL della homepage predefinita e visibilità delle colonne nell'indice degli eventi), un attaccante in grado di indurre un utente MISP autenticato a caricare una pagina malevola (ad esempio tramite un link manipolato ad hoc, un'immagine incorporata o un modulo con invio automatico) può forgiare richieste che alterano le impostazioni della vittima senza la sua conoscenza o il suo consenso. L'azione più impattante è setHomePage, che consente a un attaccante di reindirizzare la pagina di atterraggio predefinita della vittima verso un URL arbitrario controllato dall'attaccante, potenzialmente facilitando attività di phishing o ulteriori ingegneria sociale. L'azione setTheme può alterare il tema visivo dell'utente e eventIndexColumnToggle può modificare le colonne visualizzate nella vista dell'indice degli eventi. Non è coinvolto alcun bypass dell'autenticazione; la vittima deve essere già autenticata in MISP. La vulnerabilità è stata segnalata dal National Cyber Team del Governo Scozzese (Scottish Government).
Versione interessata: ≤2.5.45
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.