目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1336 元

100%
请我们喝杯咖啡

CVE-2026-91857— MISP 状态变更操作 GET 请求致 CSRF 漏洞

一分钟漏洞结论

影响对象
MISP MISP
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

受影响版本的 MISP 暴露了多个会改变系统状态的控制层（controller）操作，但未将其限制为仅接受 POST 请求。 受影响的特定操作如下： 该补丁为每个受影响的操作添加了 约束，从而阻止它们通过普通的 GET 请求被触发。 具体到 方法，原有的用户界面此前使用的是 发起请求。修复方案将该请求改为 POST 方式，并附带发送 ；同时，控制器针对此 AJAX 操作启用了“仅通过请求头进行 CSRF 校验”的机制。 由于 GET 请求可以跨源通过链接、图片、重定向或导航等方式被诱导触发，若允许 GET 请求执行

CVSS 5.3 · Medium
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-91857 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
MISP: State-changing actions accessible via GET request enabling CSRF
来源: CVE Program / CVE List V5
Vulnerability Description
Affected versions of MISP expose several state-changing controller actions without restricting them to POST. The affected actions are:  - EventReportsController::purgeUnusedPictures()  - NoticelistsController::enableNoticelist()  - ServersController::removeOrphanedCorrelations()  - WorkflowsController::rebuildRedis() The patch adds allowMethod(['post']) to each action, preventing them from being triggered through ordinary GET requests. For purgeUnusedPictures(), the corresponding UI previously used $.get(). The fix converts that request to POST and supplies X-CSRF-Token, while the controller enables header-only CSRF validation for that AJAX action. Because GET requests can be induced cross-origin through links, images, redirects, or navigation, accepting GET for these state-changing operations can let an attacker trigger them using the authenticated victim's session. Version affected: ≤2.5.45
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
跨站请求伪造(CSRF)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
MISP MISP 0 ~ 2.5.46 -

二、漏洞 CVE-2026-91857 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-91857 的情报信息

请登录查看更多情报信息。

CVE-2026-91857 补丁与修复 (1)

同批安全公告 · MISP · 2026-09-15 · 共 6 条

CVE-2026-91825 7.1 HIGH MISP 事件共享组权限检查缺失漏洞
CVE-2026-91846 7.1 HIGH MISP 指定对象UUID元素添加缺失授权
CVE-2026-91819 6.9 MEDIUM MISP 中 BetterSecurityComponent 的 CSRF 绕过漏洞
CVE-2026-91851 5.3 MEDIUM MISP Dashboard模板ACL绕过漏洞
CVE-2026-91859 5.3 MEDIUM MISP 访问日志被错误控制器二次过滤器覆盖

IV. Related Vulnerabilities

Same product: MISP
Same vendor: MISP
Same weakness: CWE-352

V. Comments for CVE-2026-91857

暂无评论

发表评论