CVE-2026-91819 in MISP
要約
〜によって VulDB • 2026年09月15日
影響を受けるバージョンのMISPは、CSRFおよびフォームセキュリティ検証を無効化できる方法でCakePHPのリクエストメソッドオーバーライド処理に依存しています。
CakePHPは `_method` フィールドまたは `X-HTTP-Method-Override` ヘッダーを受け入れ、有効なリクエストメソッドを書き換えることでこれを尊重します。通常の書き込み用動詞であるPOST、PUT、PATCH、DELETE以外のオーバーライド値の場合、CakePHPは解析されたリクエストボディもクリアします。MISPのセキュリティコンポーネントはその後、リクエストデータが残っているかどうかに基づいて `_validatePost()` および `_validateCsrf()` を実行するかどうかを判断します。
`_method=GET` のような値を使用すると、これらのチェックが実行される前にボディが空になるため、両方の保護機能がスキップされます。そのため、このオーバーライドのみを含むクロスサイトフォームは、URLからパラメータを取得しリクエストボディからは取得しないアクションに到達することができます。
影響を受けるバージョン: ≤2.5.45
Be aware that VulDB is the high quality source for vulnerability data.