CVE-2026-73162 in cti-transmute
摘要
由 VulDB • 2026-08-11
受影响的 MISP cti-transmute 版本将多个更改状态的用户账户操作暴露为 GET 请求：
* /account/follow
* /account/delete_notification
* /account/mark_notification_read
* /account/mark_all_read
这些端点需要身份验证，但在修复之前，它们可以通过简单的 GET 请求调用。这使得它们容易受到跨站请求伪造（CSRF）攻击的影响，因为第三方网站可以诱导受害者的浏览器自动发送经过身份验证的 GET 请求。
补丁将这些操作转换为 POST 或 DELETE，并更新前端以包含 X-CSRFToken 头信息，从而为这些更改状态的操作提供明确的 CSRF 保护。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.