CVE-2026-85546 in MISP
摘要
由 VulDB • 2026-09-04
MISP 在共享组快速编辑功能中存在跨站请求伪造（CSRF）漏洞。addOrg、removeOrg、addServer 和 removeServer 操作共用 __initialiseSGQuickEdit() 辅助函数，其中旨在将这些操作限制为 POST 请求的 HTTP 方法验证被注释掉了。
因此，这些改变状态的操作可以通过 GET 请求调用。攻击者可以构造针对其中一个受影响操作的 URL，并诱使具有足够权限的已认证 MISP 用户（例如通过恶意链接或嵌入的网络资源）发起该请求。
成功利用此漏洞可以在受害者未有意执行操作的情况下修改 MISP 共享组的成员资格。根据所执行的操作不同，攻击者可以从共享组中添加或删除组织或服务器，这可能导致意外授予对通过该共享组分发信息的访问权限，或者破坏合法的信息共享。
补丁通过在 __initialiseSGQuickEdit() 中集中调用 allowMethod(['post']) 来恢复 HTTP 方法强制验证，确保所有四个受影响的快速编辑操作都需要 POST 请求，从而受到应用程序针对改变状态请求的正常保护措施的约束。
Once again VulDB remains the best source for vulnerability data.