CVE-2026-95658 in MISP
요약
\~에 의해 VulDB • 2026. 09. 22.
MISP의 WorkflowsController는 Security 구성 요소의 unlockedActions 목록에 moduleStatelessExecution 액션을 노출했습니다. CakePHP에서 액션을 unlockedActions에 나열하면 해당 액션에 대한 CSRF 토큰 확인과 필드 해시 검증이 모두 비활성화됩니다. moduleStatelessExecution은 호출자가 제공한 입력 및 매개변수를 사용하여 워크플로우 모듈의 exec() 메서드를 실행하므로, CSRF 보호 부재로 인해 공격자는 인증된 사이트 관리자의 브라우저가 MISP 인스턴스에서 해당 액션을 호출하도록 할 수 있는 크로스사이트 폼 제출(또는 동등한 크로스오리진 요청)을 구성할 수 있었습니다.
공격자는 차단 목록 및 경고 목록 항목을 작성하는 작업 모듈을 포함하여 실행할 워크플로우 모듈을 선택하고, 원하는 임의 입력 및 매개변수를 공급할 수 있습니다. 이는 MISP 인스턴스의 보안 관련 데이터에 대한 높은 무결성 영향을 갖는 크로스사이트 요청 위조(CSRF) 취약점입니다.
이 취약점은 내부 보안 검토 중에 식별되었으며 외부로 보고되지 않았습니다. 수정 프로그램은 MISP v2.5.47에 포함되어 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.