CVE-2026-90893 in MISP
Sumário
de VulDB • 14/09/2026
O MISP apresenta uma vulnerabilidade de Cross-Site Request Forgery (CSRF) no UserSettingsController. As ações setTheme, setHomePage e eventIndexColumnToggle foram explicitamente adicionadas à lista unlockedActions do componente Security, o que desativou toda a validação CSRF (incluindo verificações de token e hash de campo) para esses endpoints. Como esses endpoints aceitam requisições POST e modificam o estado da aplicação por usuário (seleção de tema, URL padrão da página inicial e visibilidade das colunas no índice de eventos), um atacante que consiga induzir um usuário autenticado do MISP a carregar uma página maliciosa (por exemplo, através de um link manipulado, imagem embutida ou formulário com envio automático) pode forjar requisições que alteram as configurações da vítima sem o seu conhecimento ou consentimento. A ação mais impactante é setHomePage, que permite ao atacante redirecionar a página inicial padrão da vítima para uma URL arbitrária controlada pelo atacante, potencialmente facilitando phishing ou outras formas de engenharia social. A ação setTheme pode alterar o tema visual do usuário, e eventIndexColumnToggle pode modificar quais colunas são exibidas na visualização do índice de eventos. Não há bypass de autenticação envolvido; a vítima deve já estar autenticada no MISP. A vulnerabilidade foi reportada pela Scottish Government National Cyber Team.
Versão afetada: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.