CVE-2026-90893
ŚrednieCVSS 5.1Streszczenie
MISP w wersji <= 2.5.45 zawiera podatność CSRF w UserSettingsController. Akcje setTheme, setHomePage i eventIndexColumnToggle zostały dodane do listy unlockedActions, co wyłączyło walidację CSRF (zarówno tokenu, jak i field-hash) dla tych endpointów, umożliwiając atakującemu sfałszowanie żądań zmieniających ustawienia zalogowanego użytkownika.
Ocena ryzyka
Atakujący może nakłonić zalogowanego użytkownika MISP do odwiedzenia złośliwej strony i zmienić jego motyw, domyślną stronę startową (potencjalnie na URL kontrolowany przez atakującego, co ułatwia phishing) oraz widoczność kolumn w widoku zdarzeń.
Rekomendacja
Zaktualizuj MISP do wersji nowszej niż 2.5.45, w której przywrócono walidację CSRF dla wymienionych akcji, oraz poinformuj użytkowników o ryzyku phishingu.
Inne podatności w MISP
Zobacz wszystkie- CVE-2026-90957Średnie
Dotknięte wersje MISP serwują przesłane obrazy SVG bez restrykcyjnej piaskownicy przeglądarki. Złośliwe skrypty wewnątrz SVG mogą wykonać się, gdy SVG jest otwierane bezpośrednio lub osadzone jako dokument, działając w kontekście MISP z sesją przeglądającego. Dotyczy to logo organizacji oraz obrazów SVG w raportach zdarzeń. Podatne zachowanie występuje na ścieżce serwowania, nie tylko podczas przesyłania. Wersje dotknięte: ≤2.5.45.
- CVE-2026-90955Średnie
Dotknięte wersje interaktywnej powłoki CLI MISP nie zachowują w sposób niezawodny tożsamości personifikowanego użytkownika MISP w dziennikach audytowych. Zachowanie SysLogLogable przechowywało tożsamość w stanie instancji, który mógł zostać nadpisany, gdy inny model dołączył współdzielone zachowanie. W rezultacie późniejsze zapisy CLI mogły utracić przypisanie do użytkownika i być logowane niepoprawnie. Dodatkowo rekordy pochodzące z CLI nie miały znacznika CLI, przez co wyglądały jak zwykłe akcje webowe danego użytkownika. Wersje dotknięte: ≤2.5.45.
- CVE-2026-90895Wysokie
Interaktywna powłoka CLI MISP w wersjach <= 2.5.45 implementuje kontrolę dostępu niezależnie od aplikacji webowej, powodując niespójności autoryzacji. Może to prowadzić do ujawnienia danych, w tym poświadczeń autoryzacyjnych HTTP w Feed.headers oraz kluczy uwierzytelniających synchronizacji serwerów, a także nieprawidłowej kontroli dostępu do list kanałów, szczegółów grup udostępniania i kontekstu rekordów.
- CVE-2026-88921Średnie
MISP w wersji ≤2.5.45 zawiera podatność na wstrzyknięcie HTML w komponencie MISPElementHTMLFormatterTool, który renderuje odwołania do elementów MISP (atrybutów, obiektów i tagów) do HTML podczas eksportu raportu do PDF. Pola kontrolowane przez użytkownika (typ i wartość atrybutu, nazwa i relacja obiektu, nazwa tagu oraz kolory tagu) są wstawiane do szablonów HTML bez kodowania encji HTML. Dodatkowo metoda attribute() zawiera zaszyte na stałe przykładowe wartości ("domain-ip" i "google.com") zamiast znaczników formatu, przez co każdy zwykły atrybut w PDF wyświetla tekst przykładowy zamiast rzeczywistej wartości wskaźnika.
- CVE-2026-61474Średnie
W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).
- CVE-2017-14337Wysokie
W MISP przed wersją 2.4.80, gdy skonfigurowano uwierzytelnianie za pomocą certyfikatu X.509 w połączeniu z zewnętrznym API zarządzania użytkownikami, istnieje możliwość, że nieautoryzowany użytkownik uzyska dostęp jako dowolny użytkownik, jeśli API zwróci pustą wartość.
- CVE-2026-90961Krytyczne
Wtyczki LdapAuth i LinOTPAuth w MISP zawierają podatność na ominięcie uwierzytelniania. Brak walidacji pól email i hasło pozwala na przekazanie pustych lub nieprawidłowych wartości do logiki uwierzytelniania, co w przypadku LDAP może skutkować nieuwierzytelnionym bindem (RFC 4513) i zalogowaniem się jako znany użytkownik bez znajomości hasła. Podobny problem występuje w LinOTP, gdzie puste hasło może zostać zaakceptowane.
- CVE-2026-86419Krytyczne
Dotknięte wersje MISP zawierają niewystarczającą walidację wychodzących połączeń HTTP po stronie serwera w funkcjach pobierania feedów i odkrywania TAXII. W przetwarzaniu feedów przekierowania były śledzone bez walidacji schematu lub celu, a oryginalne nagłówki żądań były ponownie używane, co mogło prowadzić do przekazania nagłówków autoryzacyjnych lub poświadczeń API do innego hosta. Przekierowania mogły również celować w wewnętrzne zasoby sieciowe, powodując SSRF. Poprawka dodaje walidację przekierowań, blokuje wewnętrzne cele dla przekierowań między hostami, usuwa poświadczenia feedu przed przekierowaniem do innego hosta i przypina zweryfikowane wyniki DNS. Endpoint TAXII discovery miał podobną niekompletną obronę przed SSRF, używając gethostbyname() i porównując wynik tylko z kilkoma dosłownymi adresami, co pomijało przypadki takie jak IPv6 loopback (::1), numeryczne kodowania hostów jak 0x7f000001 i wiele rekordów DNS. Poprawka przenosi TAXII discovery do wspólnego walidatora egress URL.
- CVE-2026-85221Krytyczne
MISP zawiera podatność polegającą na nieprawidłowej walidacji certyfikatów TLS w klasie CurlClient. Właściwość CurlClient::$verifyPeer nie była jawnie inicjalizowana i domyślnie przyjmowała wartość null, co po przekazaniu do cURL skutecznie wyłączało weryfikację certyfikatu serwera, o ile kod wywołujący nie włączył jej jawnie. W efekcie połączenia HTTPS mogły akceptować certyfikaty niepochodzące od zaufanego urzędu certyfikacji.
- CVE-2026-85216Krytyczne
MISP zawiera podatność polegającą na obejściu uwierzytelniania w komponentach LDAP i LinOTP z powodu niewystarczającej walidacji danych uwierzytelniających. Atakujący, znając adres e-mail użytkownika katalogowego, może wysłać puste hasło, które w przypadku serwera LDAP akceptującego nieuwierzytelnione wiązania może zostać zaakceptowane. Ponadto w komponencie LinOTP puste hasło mogło być sprawdzane względem lokalnego hasła MISP, a konta provisionowane przez LDAP mogły być tworzone z pustym hasłem lokalnym.
Oryginalny opis (angielski, źródło NVD)
MISP contains a Cross-Site Request Forgery (CSRF) vulnerability in the UserSettingsController. The actions setTheme, setHomePage, and eventIndexColumnToggle were explicitly added to the Security component's unlockedActions list, which disabled all CSRF validation (both token and field-hash checks) for those endpoints. Because these endpoints accept POST requests and modify per-user application state (theme selection, default homepage URL, and event index column visibility), an attacker who can induce a logged-in MISP user to load a malicious page (e.g., via a crafted link, embedded image, or auto-submitting form) can forge requests that alter the victim's settings without their knowledge or consent. The most impactful action is setHomePage, which allows an attacker to redirect the victim's default landing page to an arbitrary attacker-controlled URL, potentially facilitating phishing or further social engineering. The setTheme action can alter the user's visual theme, and eventIndexColumnToggle can change which columns are displayed in the event index view. No authentication bypass is involved; the victim must already be authenticated to MISP. The vulnerability was reported by the Scottish Government National Cyber Team. Version affected: ≤2.5.45