MISP содержит уязвимость подделки межсайтовых запросов (CSRF) в функции быстрого редактирования группы общего доступа. Действия addOrg, RemoveOrg, addServer и RemoveServer используют вспомогательный метод __initialiseSGQuickEdit(), где проверка метода HTTP, предназначенная для ограничения этих операций запросами POST, была закомментирована. В результате эти действия по изменению состояния можно было вызывать с помощью запросов GET.
Злоумышленник может создать URL-адрес, нацеленный на одно из затронутых действий, и заставить аутентифицированного пользователя MISP с достаточными привилегиями запросить его, например, через вредоносную ссылку или встроенный веб-ресурс. Успешная эксплуатация может изменить членство в группе общего доступа MISP без преднамеренного выполнения операции жертвой. В зависимости от выполненных действий злоумышленник может добавить или удалить организации или серверы из группы общего доступа, потенциально предоставляя непреднамеренный доступ к информации, распространяемой через эту группу общего доступа, или нарушая законный обмен информацией.
Патч восстанавливает принудительное применение HTTP-метода централизованно в __initialiseSGQuickEdit() путем вызоваallowMethod(['post']), гарантируя, что все четыре затронутые операции быстрого редактирования требуют запросов POST и, следовательно, на них распространяется обычная защита приложения для запросов на изменение состояния.
Показать оригинальное описание (EN)
MISP contains a cross-site request forgery (CSRF) vulnerability in the sharing group quick-edit functionality. The addOrg, removeOrg, addServer, and removeServer actions share the __initialiseSGQuickEdit() helper, where the HTTP method validation intended to restrict these operations to POST requests was commented out. As a result, these state-changing actions could be invoked using GET requests. An attacker could craft a URL targeting one of the affected actions and cause an authenticated MISP user with sufficient privileges to request it, for example through a malicious link or embedded web resource. Successful exploitation could modify the membership of a MISP sharing group without the victim intentionally performing the operation. Depending on the action performed, an attacker could add or remove organisations or servers from a sharing group, potentially granting unintended access to information distributed through that sharing group or disrupting legitimate information sharing. The patch restores HTTP method enforcement centrally in __initialiseSGQuickEdit() by calling allowMethod(['post']), ensuring that all four affected quick-edit operations require POST requests and are therefore subject to the application's normal protections for state-changing requests.
Характеристики атаки
Последствия
Строка CVSS v4.0