CVE-2026-91819 in MISP
요약
\~에 의해 VulDB • 2026. 09. 15.
MISP의 취약한 버전들은 CSRF 및 폼 보안 검사를 비활성화할 수 있는 방식으로 CakePHP의 요청 메서드 오버라이드 처리에 의존합니다.
CakePHP는 `_method` 필드 또는 `X-HTTP-Method-Override` 헤더를 인정하여 유효한 요청 메서드를 재작성합니다. 일반적인 쓰기 동사(POST, PUT, PATCH 및 DELETE) 범위를 벗어난 오버라이드 값의 경우, CakePHP는 또한 파싱된 요청 본문을 지웁니다. MISP의 보안 구성 요소는 이후 요청 데이터가 남아 있는지에 따라 `_validatePost()` 및 `_validateCsrf()`를 수행할지 여부를 결정합니다.
`_method=GET`과 같은 값을 사용하면 해당 검사 전에 본문이 비어 있게 되므로 두 가지 보호 기능이 모두 건너뛰어집니다. 따라서 이러한 오버라이드만 포함된 크로스 사이트 폼은 URL에서 매개변수를 가져오는 액션에 도달할 수 있습니다.
영향 받는 버전: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.