CVE-2026-85546 in MISP
Tóm tắt
Bởi VulDB • 04/09/2026
MISP chứa một lỗ hổng cross-site request forgery (CSRF) trong chức năng chỉnh sửa nhanh của nhóm chia sẻ. Các hành động addOrg, removeOrg, addServer và removeServer đều sử dụng hàm trợ giúp __initialiseSGQuickEdit(), nơi mà việc xác thực phương thức HTTP nhằm hạn chế các thao tác này chỉ cho phép yêu cầu POST đã bị comment ra.
Do đó, các hành động thay đổi trạng thái có thể được kích hoạt bằng cách sử dụng các yêu cầu GET. Kẻ tấn công có thể tạo một URL nhắm vào một trong các hành động bị ảnh hưởng và buộc người dùng MISP đã xác thực với đủ đặc quyền để gửi yêu cầu đó, ví dụ thông qua một liên kết độc hại hoặc tài nguyên web nhúng.
Việc khai thác thành công có thể làm thay đổi thành viên của nhóm chia sẻ MISP mà không cần nạn nhân chủ động thực hiện thao tác này. Tùy thuộc vào hành động được thực hiện, kẻ tấn công có thể thêm hoặc xóa các tổ chức hoặc máy chủ khỏi một nhóm chia sẻ, dẫn đến việc cấp quyền truy cập thông tin ngoài ý muốn qua nhóm chia sẻ đó hoặc làm gián đoạn quá trình chia sẻ thông tin hợp lệ.
Bản vá khôi phục việc áp dụng phương thức HTTP một cách tập trung trong __initialiseSGQuickEdit() bằng cách gọi allowMethod(['post']), đảm bảo rằng tất cả bốn thao tác chỉnh sửa nhanh bị ảnh hưởng đều yêu cầu các yêu cầu POST và do đó chịu sự bảo vệ bình thường của ứng dụng đối với các yêu cầu thay đổi trạng thái.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.