CVE-2026-85546: CSRF в MISP через state-changing GET-запросы в quick-edit групп обмена
В MISP обнаружена CSRF-уязвимость в механизме быстрого редактирования sharing group: проверку HTTP-метода отключили, из-за чего операции addOrg, removeOrg, addServer и removeServer стали доступны через GET. Атакующий может незаметно изменить состав группы обмена от имени привилегированного пользователя. Критичность — высокая, CVSS 8.6.
Подробности
Уязвимость затрагивает четыре действия быстрого редактирования: addOrg, removeOrg, addServer и removeServer. Все они используют общий вспомогательный метод __initialiseSGQuickEdit(), в котором должна была выполняться проверка HTTP-метода, ограничивающая эти операции запросами POST. Однако соответствующая проверка была закомментирована в коде. В результате операции, изменяющие состояние (state-changing actions), стали доступны и через GET-запросы. Это открывает возможность для CSRF-атаки: злоумышленник может сформировать URL, нацеленный на одно из затронутых действий, и заставить аутентифицированного пользователя MISP с достаточными привилегиями обратиться по нему — например, через вредоносную ссылку или встроенный веб-ресурс. Успешная эксплуатация позволяет изменить состав участников группы обмена MISP без намеренного действия со стороны жертвы. В зависимости от выполненного действия атакующий может добавить или удалить организации либо серверы из группы обмена. Это потенциально приводит к предоставлению несанкционированного доступа к информации, распространяемой через данную группу, либо к нарушению легитимного обмена данными. Атака требует, чтобы жертва была аутентифицирована в MISP и обладала соответствующими правами на редактирование групп обмена, а также чтобы она инициировала запрос по подготовленному злоумышленником URL. Именно отсутствие проверки метода делает возможным выполнение действия через простой GET-запрос без дополнительных подтверждений. Исправление восстанавливает принудительную проверку HTTP-метода централизованно в __initialiseSGQuickEdit() путём вызова allowMethod(['post']). Это гарантирует, что все четыре затронутые операции быстрого редактирования требуют POST-запросов и, следовательно, подпадают под стандартные механизмы защиты приложения для действий, изменяющих состояние.Что делать
Рекомендуется обновить MISP до версии, содержащей исправление, в которой в __initialiseSGQuickEdit() восстановлен вызов allowMethod(['post']). После установки патча убедитесь, что все операции addOrg, removeOrg, addServer и removeServer принимают только POST-запросы и отклоняют GET. Если немедленное обновление невозможно, следует рассмотреть временные митигации: ограничить доступ к интерфейсу MISP для недоверенных источников, применять дополнительные проверки на уровне обратного прокси (например, блокировать state-changing GET-запросы к соответствующим эндпоинтам), а также усилить контроль привилегий пользователей, способных редактировать группы обмена. Дополнительно стоит напоминать пользователям о рисках перехода по подозрительным ссылкам при активной аутентифицированной сессии.Итог
CVE-2026-85546 — серьёзная CSRF-уязвимость в MISP, возникшая из-за отключённой проверки HTTP-метода в quick-edit групп обмена. Она позволяет незаметно менять состав организаций и серверов в группе обмена, что может привести к утечке данных или сбоям в обмене информацией об угрозах. Ключевая мера защиты — установка обновления с восстановленной проверкой allowMethod(['post']).Источник: CVE Project (cvelistV5)