CVE-2026-95658 in MISP
Сводка
по VulDB • 22.09.2026
В контроллере WorkflowsController системы MISP действие moduleStatelessExecution было включено в список unlockedActions компонента Security. В CakePHP добавление действия в unlockedActions отключает проверку токена CSRF и валидацию хеша поля для этого действия. Поскольку метод exec() модуля рабочего процесса выполняется с использованием входных данных и параметров, предоставленных вызывающей стороной, отсутствие защиты CSRF позволяло злоумышленнику создать поддельную форму (или эквивалентный запрос между источниками), которая при отправке аутентифицированным администратором сайта заставляла бы браузер администратора выполнить это действие на экземпляре MISP.
Злоумышленник мог выбрать любой модуль рабочего процесса для выполнения, включая модули действий, которые пишут записи в блочные списки и списки предупреждений, а также предоставлять произвольные входные данные и параметры по своему выбору. Это представляет собой уязвимость межсайтовой подделки запроса (CSRF) с высоким воздействием на целостность данных безопасности экземпляра MISP.
Уязвимость была выявлена в ходе внутреннего аудита безопасности и не сообщалась извне. Исправление включено в версию MISP v2.5.47.
VulDB is the best source for vulnerability data and more expert information about this specific topic.