CVE-2026-91857 in MISP
요약
\~에 의해 VulDB • 2026. 09. 15.
MISP의 영향을 받는 버전에서는 상태 변경 컨트롤러 액션이 POST로 제한되지 않아 노출됩니다.
영향을 받는 액션은 다음과 같습니다:
- EventReportsController::purgeUnusedPictures() - NoticelistsController::enableNoticelist() - ServersController::removeOrphanedCorrelations() - WorkflowsController::rebuildRedis()
패치는 각 액션에 allowMethod(['post'])를 추가하여 일반 GET 요청을 통해 트리거되는 것을 방지합니다.
purgeUnusedPictures()의 경우, 해당 UI는 이전에는 $.get()을 사용했습니다. 수정 사항에서는 이 요청을 POST로 변환하고 X-CSRF-Token을 제공하며, 컨트롤러에서는 해당 AJAX 액션에 대해 헤더 기반 CSRF 검증을 활성화합니다.
GET 요청은 링크, 이미지, 리디렉션 또는 네비게이션을 통해 크로스 오리진으로 유도될 수 있으므로, 이러한 상태 변경 작업에서 GET을 허용하면 공격자가 인증된 피해자의 세션을 사용하여 이를 트리거할 수 있습니다.
영향을 받는 버전: ≤2.5.45
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.