CVE-2026-85546 in MISP
要約
〜によって VulDB • 2026年09月04日
MISPには、共有グループのクイック編集機能におけるクロスサイトリクエストフォージェリ（CSRF）脆弱性が存在します。addOrg、removeOrg、addServer、および removeServer アクションは、__initialiseSGQuickEdit() ヘルパーを共通で利用しており、これらの操作をPOSTリクエストに制限する意図のあったHTTPメソッド検証がコメントアウトされていました。
その結果、ステート変更アクションはGETリクエストを使用して呼び出すことが可能になりました。攻撃者は影響を受けるアクションの一つを対象としたURLを作成し、例えば悪意のあるリンクや埋め込みWebリソースを通じて、十分な権限を持つ認証済みMISPユーザーにそれを要求させることができます。
成功した攻撃により、被害者が意図的に操作を実行することなく、MISP共有グループのメンバーシップが変更される可能性があります。実行されたアクションに応じて、攻撃者は共有グループから組織またはサーバーを追加・削除でき、その結果、その共有グループを通じて配布される情報への予期せぬアクセスを許可したり、正当な情報共有を妨害したりする恐れがあります。
パッチは、__initialiseSGQuickEdit()内でallowMethod(['post'])を呼び出すことでHTTPメソッドの強制を中央で復元し、影響を受ける4つのクイック編集操作すべてがPOSTリクエストを必要とし、ステート変更リクエストに対するアプリケーションの通常の保護対象となることを保証します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.