CVE-2026-95658 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPのWorkflowsControllerは、SecurityコンポーネントのunlockedActionsリストにmoduleStatelessExecutionアクションを公開していました。CakePHPにおいて、アクションをunlockedActionsにリストすると、そのアクションに対するCSRFトークンチェックとフィールドハッシュ検証が無効になります。moduleStatelessExecutionは、呼び出し元が提供した入力とパラメータを使用してワークフローモジュールのexec()メソッドを実行するため、CSRF保護の欠如により、攻撃者は認証済みサイト管理者によって送信された場合、MISPインスタンス上でそのアクションをブラウザに実行させるためのクロスサイトフォームポスト（または同等のオリジン間リクエスト）を作成することができました。
攻撃者はブロックリストや警告リストのエントリを書き込むアクションモジュールを含む任意のワークフローモジュールを選択し、選択した任意の入力とパラメータを提供できます。これはMISPインスタンスのセキュリティ関連データに対して高い整合性影響を持つクロスサイトリクエストフォージェリ（CSRF）脆弱性です。
この脆弱性は内部セキュリティレビュー中に特定され、外部からは報告されていません。修正はMISP v2.5.47に含まれています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.