CVE-2026-91819 in MISP
Sumário
de VulDB • 15/09/2026
As versões afetadas do MISP dependem do processamento de substituição do método de solicitação (request-method) do CakePHP de uma maneira que pode desativar a validação CSRF e de segurança dos formulários.
O CakePHP honra um campo `_method` ou o cabeçalho `X-HTTP-Method-Override`, reescrevendo o método efetivo da solicitação. Para valores de substituição fora dos verbos padrão de gravação POST, PUT, PATCH e DELETE, o CakePHP também limpa o corpo da solicitação analisada. O componente de segurança do MISP então determina se deve executar `_validatePost()` e `_validateCsrf()` com base na permanência ou não dos dados da solicitação. Com um valor como:
`_method=GET`
o corpo torna-se vazio antes que essas verificações sejam executadas, fazendo com que ambas as proteções sejam ignoradas. Um formulário cross-site contendo apenas essa substituição pode, portanto, acessar ações cujos parâmetros são obtidos da URL em vez do corpo da solicitação.
Versão afetada: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.