CVE-2026-73162
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatne wersje MISP cti-transmute udostępniają kilka operacji zmieniających stan konta jako żądania GET, np. /account/follow, /account/delete_notification, /account/mark_notification_read i /account/mark_all_read. Te punkty końcowe wymagają uwierzytelnienia, ale przed poprawką mogły być wywoływane prostymi żądaniami GET, co czyni je podatnymi na cross-site request forgery (CSRF). Poprawka zmienia te akcje na POST lub DELETE i dodaje nagłówek X-CSRFToken w frontendzie.
Ocena ryzyka
Atakujący może nakłonić przeglądarkę ofiary do wykonania nieautoryzowanych operacji na koncie, takich jak usunięcie powiadomień czy zmiana stanu obserwowania, bez zgody użytkownika.
Rekomendacja
Zaktualizuj cti-transmute do wersji zawierającej poprawkę, która wymusza użycie metod POST/DELETE i nagłówka CSRF dla tych operacji.
Oryginalny opis (angielski, źródło NVD)
Affected versions of MISP cti-transmute expose several state-changing account operations as GET requests: * /account/follow * /account/delete_notification * /account/mark_notification_read * /account/mark_all_read These endpoints require authentication, but before the fix they could be invoked with simple GET requests. That makes them susceptible to cross-site request forgery because a third-party site can induce the victim’s browser to send authenticated GET requests automatically. The patch converts the actions to POST or DELETE and updates the frontend to include an X-CSRFToken header, providing explicit CSRF protection for those state-changing operations.