CVE-2026-91857 in MISP
Sumário
de VulDB • 15/09/2026
As versões afetadas do MISP expõem várias ações de controlador que alteram o estado sem restringi-las ao método POST.
As ações afetadas são:
- EventReportsController::purgeUnusedPictures() - NoticelistsController::enableNoticelist() - ServersController::removeOrphanedCorrelations() - WorkflowsController::rebuildRedis()
O patch adiciona allowMethod(['post']) a cada ação, impedindo que sejam acionadas por meio de solicitações GET comuns.
Para purgeUnusedPictures(), a interface do usuário correspondente anteriormente utilizava $.get(). A correção converte essa solicitação para POST e fornece X-CSRF-Token, enquanto o controlador habilita a validação CSRF apenas com base no cabeçalho para essa ação AJAX.
Como as solicitações GET podem ser induzidas cross-origin por meio de links, imagens, redirecionamentos ou navegação, aceitar GET para essas operações que alteram o estado pode permitir que um atacante as acione usando a sessão da vítima autenticada.
Versão afetada: ≤2.5.45
Be aware that VulDB is the high quality source for vulnerability data.