CVE-2026-85547

ŚrednieCVSS 6.2

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

W MISP wykryto podatność CSRF (Cross-Site Request Forgery), wynikającą z wyłączania zabezpieczeń formularzy i ochrony CSRF dla żądań identyfikowanych jako REST. Identyfikacja REST może być manipulowana przez właściwości żądania, takie jak nagłówek Accept, co pozwala atakującemu na wysyłanie żądań z innej domeny bez preflight CORS. W rezultacie MISP wyłącza ochronę CSRF dla żądań uwierzytelnionych sesją przeglądarki ofiary.

Ocena ryzyka

Atakujący może nakłonić uwierzytelnionego użytkownika MISP do odwiedzenia złośliwej strony, która następnie może wykonywać nieautoryzowane operacje na danych (modyfikacja, tworzenie, publikacja, usuwanie) z uprawnieniami ofiary. Może to prowadzić do naruszenia integralności i poufności danych w organizacji.

Rekomendacja

Należy natychmiast zaktualizować MISP do wersji zawierającej poprawkę, która przyznaje wyjątki od ochrony CSRF tylko dla żądań z kluczem API. Dodatkowo, dla prawidłowego działania, należy wdrożyć obsługę nagłówka X-CSRF-Token dla żądań AJAX z tej samej domeny.

Inne podatności w MISP

Zobacz wszystkie

Oryginalny opis (angielski, źródło NVD)

A cross-site request forgery (CSRF) vulnerability exists in MISP due to form-security and CSRF protections being disabled based on whether an incoming request was identified as a REST request. MISP's REST detection can be influenced by request properties such as the URL suffix or the HTTP Accept header. Because Accept: application/json can be supplied by a cross-origin page without requiring a CORS preflight, an attacker could cause a request originating from another website to be treated as REST traffic. MISP would consequently disable its normal form-security and CSRF validation even though the request was authenticated using the victim's existing browser session. An unauthenticated remote attacker could exploit this behavior by convincing an authenticated MISP user to visit or interact with a malicious web page. The attacker's page could then issue crafted requests to susceptible state-changing MISP endpoints using the victim's privileges. Depending on the permissions of the victim and the targeted endpoint, this could allow unauthorized modification, creation, publication, or removal of data and other state changes. The vulnerability originates from granting the form-security exemption based on _isRest() rather than on the authentication mechanism used by the request. The patch changes this behavior so that CSRF and form-security exemptions are granted only when the request actually carries a MISP API key. Session-authenticated REST-style requests remain subject to CSRF protection. The fix also introduces support for transmitting CSRF tokens through the X-CSRF-Token header for legitimate same-origin AJAX requests. Such a header cannot normally be attached by a cross-origin page without triggering a CORS preflight, preventing it from being used to reproduce the original attack.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS