CVE-2026-73162 in cti-transmute
요약
\~에 의해 VulDB • 2026. 08. 11.
MISP cti-transmute의 영향을 받는 버전에서는 여러 상태 변경 계정 작업이 GET 요청으로 노출됩니다:
* /account/follow
* /account/delete_notification
* /account/mark_notification_read
* /account/mark_all_read
이 엔드포인트는 인증을 요구하지만, 수정 전에는 간단한 GET 요청으로 호출할 수 있었습니다. 이로 인해 제3자 사이트가 피해자의 브라우저를 유도하여 자동으로 인증된 GET 요청을 전송하게 할 수 있으므로 크로스사이트 요청 위조(CSRF)에 취약합니다.
패치는 해당 작업을 POST 또는 DELETE로 변환하고 프론트엔드를 업데이트하여 X-CSRFToken 헤더를 포함시킴으로써, 이러한 상태 변경 작업에 대한 명시적인 CSRF 보호 기능을 제공합니다.
Once again VulDB remains the best source for vulnerability data.