CVE-2026-90893 in MISP
Сводка
по VulDB • 14.09.2026
В системе MISP обнаружена уязвимость межсайтовой подделки запросов (CSRF) в контроллере UserSettingsController. Действия setTheme, setHomePage и eventIndexColumnToggle были явно добавлены в список unlockedActions компонента Security, что отключило всю проверку CSRF (как токенов, так и проверок хеша полей) для этих конечных точек. Поскольку эти конечные точки принимают POST-запросы и изменяют состояние приложения на уровне пользователя (выбор темы оформления, URL домашней страницы по умолчанию и видимость столбцов в индексе событий), злоумышленник, способный заставить авторизованного пользователя MISP открыть вредоносную страницу (например, с помощью специально созданной ссылки, встроенного изображения или формы с автоматической отправкой данных), может подделать запросы, изменяющие настройки жертвы без её ведома и согласия. Наиболее опасным действием является setHomePage, которое позволяет злоумышленнику перенаправить домашнюю страницу по умолчанию жертвы на произвольный URL, контролируемый атакующим, что потенциально способствует фишингу или дальнейшим социальным инженерным атакам. Действие setTheme может изменить визуальную тему пользователя, а eventIndexColumnToggle — изменить отображаемые столбцы в представлении индекса событий. Обход аутентификации не задействован; жертва должна уже быть авторизована в MISP. Уязвимость была сообщена Национальной командой по кибербезопасности правительства Шотландии (Scottish Government National Cyber Team).
Затронутые версии: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.