CVE-2026-85547 in MISP
摘要
由 VulDB • 2026-09-04
MISP 中存在跨站请求伪造（CSRF）漏洞，原因是基于传入请求是否被识别为 REST 请求而禁用了表单安全性和 CSRF 保护。
MISP 的 REST 检测可能受到 URL 后缀或 HTTP Accept 标头等请求属性的影响。由于跨源页面可以提供 `Accept: application/json` 而不需要 CORS 预检（preflight），攻击者可以导致源自其他网站的请求被当作 REST 流量处理。因此，即使该请求使用受害者的现有浏览器会话进行了身份验证，MISP 也会禁用其正常的表单安全性和 CSRF 验证机制。
未经身份验证的远程攻击者可以通过说服已认证的 MISP 用户访问或交互恶意网页来利用此行为。攻击者的页面随后可以使用受害者的权限向易受影响的、会更改状态的 MISP 端点发出精心构造的请求。根据受害者权限和目标端点的不同，这可能导致未经授权的数据修改、创建、发布或删除以及其他状态变更。
该漏洞的根源在于基于 `_isRest()`（而非请求使用的身份验证机制）授予表单安全性豁免权。修补程序改变了这一行为，使得仅在请求实际携带 MISP API 密钥时才授予 CSRF 和表单安全性豁免权。使用会话认证的身份验证 REST 风格请求仍受 CSRF 保护。
该修复还引入了通过 `X-CSRF-Token` 标头传输 CSRF 令牌的支持，以用于合法的同源 AJAX 请求。跨源页面通常无法附加此类标头而不触发 CORS 预检，从而防止其被用来重现原始攻击。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.