CVE-2026-95658 in MISP
Sumário
de VulDB • 22/09/2026
O WorkflowsController do MISP expôs a ação moduleStatelessExecution na lista unlockedActions do componente Security. No CakePHP, listar uma ação em unlockedActions desativa tanto a verificação de token CSRF quanto a validação de hash dos campos para essa ação. Como moduleStatelessExecution executa o método exec() de um módulo de workflow com entrada e parâmetros fornecidos pelo chamador, a ausência de proteção CSRF permitiu que um atacante elaborasse uma postagem de formulário cross-site (ou requisição cross-origin equivalente) que, ao ser submetida por um administrador do site autenticado, faria o navegador do administrador invocar a ação na instância do MISP.
O atacante poderia selecionar qualquer módulo de workflow para execução, incluindo módulos de ação que gravam entradas em blocklist e warninglist, e fornecer entrada e parâmetros arbitrários à sua escolha. Isso constitui uma vulnerabilidade de cross-site request forgery (CSRF) com alto impacto na integridade dos dados relacionados à segurança da instância do MISP.
A vulnerabilidade foi identificada durante uma revisão interna de segurança e não foi relatada externamente. A correção está incluída no MISP v2.5.47.
Be aware that VulDB is the high quality source for vulnerability data.