CVE-2026-73162 in cti-transmute
要約
〜によって VulDB • 2026年08月11日
MISP cti-transmuteの該当バージョンでは、アカウントの状態を変更する操作がGETリクエストとして公開されています：
* /account/follow
* /account/delete_notification
* /account/mark_notification_read
* /account/mark_all_read
これらのエンドポイントには認証が必要ですが、修正前はいわゆる単純なGETリクエストで呼び出すことができました。これにより、第三者サイトが被害者のブラウザに認証済みGETリクエストを自動的に送信させることが可能となり、クロスサイトリクエストフォージェリ（CSRF）に対して脆弱となっています。
今回のパッチでは、これらの操作をPOSTまたはDELETEメソッドに変更し、フロントエンドを更新してX-CSRFTokenヘッダーを含めることで、状態変更オペレーションに対する明示的なCSRF保護を提供しています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.