CVE-2026-9137
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Endpoint raportów CSP w MISP miał na celu ograniczenie logowanych raportów CSP do 1 KB, jednak błędnie pozwalał na raporty o wielkości do 1 MB przed obcięciem. W przypadku wdrożeń, gdzie endpoint jest dostępny dla nieufnych klientów, może to umożliwić atakującym generowanie nadmiernej ilości logów.
Ocena ryzyka
Może to prowadzić do wyczerpania zasobów lub zalania logów, co utrudnia monitorowanie i analizę zdarzeń w systemie.
Rekomendacja
Zaleca się ograniczenie dostępu do endpointu raportów CSP tylko dla zaufanych klientów oraz weryfikację i poprawę limitu wielkości raportów.
Oryginalny opis (angielski, źródło NVD)
The CSP report endpoint in MISP intended to limit logged CSP reports to 1 KB but incorrectly allowed reports up to 1 MB before truncation. On deployments where the endpoint is reachable by untrusted clients, this could allow attackers to generate excessive log volume and contribute to resource exhaustion or log flooding.