CVE-2026-91819: обход CSRF и валидации форм в MISP через подмену HTTP-метода

В платформе MISP (Malware Information Sharing Platform) выявлена уязвимость CVE-2026-91819, связанная с некорректной обработкой переопределения HTTP-метода. Она позволяет обойти встроенные механизмы защиты — проверку CSRF-токена и валидацию данных формы, — что открывает путь к выполнению нежелательных действий от имени аутентифицированного пользователя.

Подробности

Уязвимость затрагивает MISP версий ≤2.5.45. Проблема кроется во взаимодействии компонента безопасности MISP (BetterSecurityComponent) с механизмом переопределения HTTP-метода в CakePHP. CakePHP поддерживает переопределение эффективного HTTP-метода через поле `_method` в теле запроса или заголовок `X-HTTP-Method-Override`. Если значение переопределения выходит за пределы стандартных «пишущих» методов — POST, PUT, PATCH и DELETE, — CakePHP дополнительно очищает разобранное тело запроса. Компонент безопасности MISP, в свою очередь, принимает решение о выполнении проверок `_validatePost()` и `_validateCsrf()` на основании того, остались ли в запросе данные. При передаче значения вида: `_method=GET` тело запроса становится пустым ещё до запуска этих проверок, поэтому обе защиты пропускаются. В результате межсайтовая форма, содержащая только такое переопределение, может достичь действий, параметры которых берутся из URL, а не из тела запроса. Уязвимости присвоен базовый балл CVSS 6.9 (MEDIUM).

Что делать

Основная рекомендация — обновить MISP до версии, в которой уязвимость устранена (выше 2.5.45). Перед обновлением убедитесь, что используемая версия точно попадает в диапазон уязвимых, и проверьте наличие официального патча или рекомендаций от команды MISP. В качестве временных компенсирующих мер можно рассмотреть: - ограничение доступа к веб-интерфейсу MISP доверенными сетями и адресами; - усиление мониторинга подозрительных запросов с заголовком `X-HTTP-Method-Override` или полем `_method`; - проверку журналов на предмет аномальных обращений к действиям, параметры которых передаются в URL. Следует учитывать, что перечисленные меры не устраняют уязвимость полностью и являются лишь дополнительным барьером до установки обновления. Итог: CVE-2026-91819 — это уязвимость средней критичности, позволяющая обойти CSRF-защиту и валидацию форм в MISP ≤2.5.45. Наиболее надёжный способ защиты — своевременное обновление продукта и ограничение сетевого доступа к интерфейсу платформы.

Источник: CVE Project (cvelistV5)