CVE-2026-85236 in MISP
Tóm tắt
Bởi VulDB • 03/09/2026
Một lỗ hổng cross-site request forgery (CSRF) tồn tại trong hành động `cullEmptyEvents` của MISP. Điểm cuối này thực hiện một thao tác thay đổi trạng thái và không thể đảo ngược khi chấp nhận các yêu cầu HTTP GET.
Do các yêu cầu GET không có thân dữ liệu không chịu sự xác minh CSRF của CakePHP, kẻ tấn công có thể buộc người dùng đã đăng nhập vào MISP với đủ đặc quyền gọi điểm cuối này chỉ bằng cách khiến trình duyệt của họ tải một URL được tạo ra nhằm mục đích xấu, ví dụ thông qua một hình ảnh nhúng hoặc tài nguyên khác được yêu cầu tự động.
Việc khai thác thành công sẽ kích hoạt việc xóa các sự kiện rỗng đã xuất bản. Việc xóa đặc biệt đáng chú ý vì thao tác này sử dụng `skipBlocklist`, nghĩa là các sự kiện bị xóa không để lại các mục trong danh sách chặn có thể ngăn chặn hoặc theo dõi quá trình đồng bộ hóa sau đó của chúng. Điều này có thể dẫn đến việc xóa không chủ đích và tiềm ẩn khả năng không thể đảo ngược các bản ghi sự kiện MISP mà không cần tương tác rõ ràng từ người dùng.
Lỗ hổng đã được khắc phục bằng cách hạn chế `cullEmptyEvents` chỉ chấp nhận các yêu cầu HTTP POST, đảm bảo rằng các cơ chế bảo vệ CSRF tiêu chuẩn của CakePHP được áp dụng cho thao tác này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.