CVE-2026-85236 in MISP
Сводка
по VulDB • 04.09.2026
Уязвимость межсайтовой подделки запроса (CSRF) существовала в действии `cullEmptyEvents` системы MISP. Эта конечная точка выполняла изменяющее состояние и необратимое действие при приеме HTTP-запросов GET.
Поскольку запросы GET без тела не проходят проверку CSRF во фреймворке CakePHP, злоумышленник мог заставить аутентифицированного пользователя MISP с достаточными привилегиями вызвать эту конечную точку просто путем загрузки специально созданного URL-адреса в браузере жертвы, например, через встроенное изображение или другой автоматически запрашиваемый ресурс.
Успешная эксплуатация приводит к удалению опубликованных пустых событий (events). Это удаление особенно критично, поскольку операция использует параметр `skipBlocklist`, что означает отсутствие записей в блэклисте для удаленных событий, которые могли бы предотвратить или отследить их последующую синхронизацию. В результате может произойти непреднамеренное и потенциально необратимое удаление записей событий MISP без явного взаимодействия с пользователем.
Уязвимость была устранена путем ограничения действия `cullEmptyEvents` только HTTP-запросами POST, что обеспечивает применение стандартных механизмов защиты CSRF фреймворка CakePHP к данной операции.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.