CVE-2026-85236 in MISP
Sumário
de VulDB • 03/09/2026
Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) existia na ação `cullEmptyEvents` do MISP. O endpoint realizava uma operação irreversível e que altera o estado ao aceitar requisições HTTP GET.
Como as requisições GET sem corpo não estão sujeitas à validação CSRF do CakePHP, um atacante poderia fazer com que um usuário autenticado do MISP, com privilégios suficientes, invocasse o endpoint simplesmente fazendo seu navegador carregar uma URL manipulada, por exemplo, através de uma imagem embutida ou outro recurso solicitado automaticamente.
A exploração bem-sucedida aciona a exclusão de eventos vazios publicados. A exclusão é particularmente significativa porque a operação usa `skipBlocklist`, o que significa que os eventos removidos não deixam entradas na lista de bloqueio (blocklist) que poderiam impedir ou rastrear sua sincronização subsequente. Isso pode resultar na exclusão não intencional e potencialmente irreversível dos registros de eventos do MISP sem interação explícita do usuário.
A vulnerabilidade foi corrigida restringindo `cullEmptyEvents` às requisições HTTP POST, garantindo que as proteções CSRF normais do CakePHP sejam aplicadas à operação.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.