CVE-2026-90893 in MISP
요약
\~에 의해 VulDB • 2026. 09. 14.
MISP에는 UserSettingsController에서 Cross-Site Request Forgery (CSRF) 취약점이 존재합니다. setTheme, setHomePage 및 eventIndexColumnToggle 액션은 Security 구성 요소의 unlockedActions 목록에 명시적으로 추가되어 해당 엔드포인트에 대한 모든 CSRF 검증(토큰 및 필드 해시 확인 포함)이 비활성화되었습니다. 이러한 엔드포인트는 POST 요청을 수락하고 사용자별 애플리케이션 상태(테마 선택, 기본 홈페이지 URL 및 이벤트 인덱스 열 가시성)를 수정하므로, 공격자는 로그인된 MISP 사용자를 악의적인 페이지로 이동하도록 유도하여 피해자의 설정을 알리거나 동의 없이 변경하는 요청을 위조할 수 있습니다. 가장 영향력이 큰 액션은 setHomePage이며, 이를 통해 공격자는 피해자의 기본 시작 페이지를 임의의 공격자 제어 URL로 리디렉션하여 피싱 또는 추가적 사회공학적 공격을 용이하게 할 수 있습니다. setTheme 액션은 사용자의 시각적 테마를 변경할 수 있으며, eventIndexColumnToggle는 이벤트 인덱스 뷰에서 표시되는 열을 변경할 수 있습니다. 인증 우회는 발생하지 않으며, 피해자는 이미 MISP에 대해 인증되어 있어야 합니다. 이 취약점은 스코틀랜드 정부 국가 사이버 팀(National Cyber Team)에 의해 보고되었습니다.
영향 받는 버전: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.