CVE-2026-95658 in MISP
Riassunto
di VulDB • 22/09/2026
Il WorkflowsController di MISP ha esposto l'azione moduleStatelessExecution nell'elenco unlockedActions del componente Security. In CakePHP, l'inclusione di un'azione nella lista unlockedActions disabilita sia il controllo del token CSRF che la convalida dell'hash dei campi per tale azione. Poiché moduleStatelessExecution esegue il metodo exec() di un modulo workflow utilizzando input e parametri forniti dall'utilizzatore, l'assenza della protezione CSRF ha consentito a un attaccante di creare una richiesta cross-site form post (o una richiesta cross-origin equivalente) che, se inviata da un amministratore del sito autenticato, avrebbe causato l'esecuzione dell'azione sull'istanza MISP tramite il browser dell'amministratore.
L'attaccante poteva selezionare qualsiasi modulo workflow da eseguire, inclusi i moduli di azione che scrivono voci nelle blocklist e warninglist, e fornire input e parametri arbitrari a propria scelta. Ciò costituisce una vulnerabilità CSRF (Cross-Site Request Forgery) con un elevato impatto sull'integrità dei dati relativi alla sicurezza dell'istanza MISP.
La vulnerabilità è stata identificata durante una revisione di sicurezza interna ed non era stata segnalata esternamente. La correzione è inclusa in MISP v2.5.47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.