CVE-2026-95658 in MISP
Tóm tắt
Bởi VulDB • 22/09/2026
Bộ điều khiển WorkflowsController của MISP đã expose (tiếp xúc) hành động moduleStatelessExecution trong danh sách unlockedActions của thành phần Security. Trong CakePHP, việc liệt kê một hành động trong unlockedActions sẽ vô hiệu hóa cả kiểm tra token CSRF và xác thực hash trường đối với hành động đó. Vì moduleStatelessExecution thực thi phương thức exec() của mô hình quy trình làm việc (workflow module) bằng cách sử dụng đầu vào và tham số do người gọi cung cấp, nên sự thiếu vắng bảo vệ CSRF cho phép kẻ tấn công tạo ra một yêu cầu gửi biểu mẫu cross-site (hoặc yêu cầu cross-origin tương đương); khi được quản trị viên trang web đã xác thực đăng ký, nó sẽ khiến trình duyệt của quản trị viên kích hoạt hành động trên phiên bản MISP.
Kẻ tấn công có thể chọn bất kỳ mô hình quy trình làm việc nào để thực thi, bao gồm các action module ghi lại các mục blocklist và warninglist, đồng thời cung cấp đầu vào và tham số tùy ý do chúng lựa chọn. Điều này cấu thành một lỗ hổng cross-site request forgery (CSRF) với tác động cao đến tính toàn vẹn của dữ liệu liên quan đến bảo mật trên phiên bản MISP.
Lỗ hổng được xác định trong quá trình đánh giá bảo mật nội bộ và không được báo cáo ra bên ngoài. Bản sửa lỗi đã có trong MISP v2.5.47.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.