CVE-2026-95658
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Kontroler WorkflowsController MISP ujawnił akcję moduleStatelessExecution na liście odblokowanych akcji komponentu Security. W CakePHP umieszczenie akcji w unlockedActions wyłącza zarówno sprawdzanie tokena CSRF, jak i sprawdzanie poprawności skrótu pola dla tej akcji. Ponieważ modułStatelessExecution wykonuje metodę exec() modułu przepływu pracy z danymi wejściowymi i parametrami dostarczonymi przez wywołującego, brak ochrony CSRF umożliwił osobie atakującej utworzenie postu z formularza między witrynami (lub równoważnego żądania z różnych źródeł), który po przesłaniu przez uwierzytelnionego administratora witryny spowodowałby, że przeglądarka administratora wywołałaby akcję w instancji MISP.
Osoba atakująca może wybrać dowolny moduł przepływu pracy do wykonania, w tym moduły akcji, które zapisują wpisy na listach blokowania i listach ostrzeżeń oraz dostarczają dowolne dane wejściowe i wybrane przez siebie parametry. Stanowi to lukę w zabezpieczeniach typu cross-site request forgery (CSRF), która ma duży wpływ na integralność danych związanych z bezpieczeństwem instancji MISP.
Luka została zidentyfikowana podczas wewnętrznego przeglądu bezpieczeństwa i nie została zgłoszona na zewnątrz. Poprawka jest zawarta w MISP v2.5.47.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org