CVE-2026-85236

MISP-nin cullEmptyEvents hərəkətində saytlararası sorğu saxtakarlığı (CSRF) zəifliyi aşkar edilmişdir. Son nöqtə (endpoint), HTTP GET sorğularını qəbul edərkən vəziyyəti dəyişən və geri qaytarıla bilməyən əməliyyatı yerinə yetirirdi. Gövdesiz GET sorğuları CakePHP-nin CSRF təsdiqinə məruz qalmadığı üçün hücumçu, kifayət qədər imtiyaza malik autentifikasiya olunmuş MISP istifadəçisinin brauzerinə xüsusi hazırlanmış URL-i yüklətməklə (məsələn, daxil edilmiş şəkil və ya digər avtomatik sorğu edilən resurs vasitəsilə) həmin son nöqtəni çağırmasına səbəb ola bilərdi. Uğurlu istismar dərc edilmiş boş hadisələrin silinməsini tetikləyir. Silinmə prosesi xüsusilə kritikdir, çünki əməliyyat skipBlocklist funksiyasından istifadə edir; bu o deməkdir ki, silinmiş hadisələr onların sonrakı sinxronizasiyasının qarşısını ala biləcək və ya izləyə biləcək blok siyahısı (blocklist) yazılarını qoymur. Bu, istifadəçinin açıq qarşılıqlı əlaqəsi olmadan MISP hadisə qeydlərinin qeyri-ixtiyari və potensial olaraq geri qaytarıla bilməyən şəkildə silinməsinə səbəb ola bilər. Zəiflik, cullEmptyEvents hərəkətinin yalnız HTTP POST sorğuları ilə məhdudlaşdırılması və beləliklə, əməliyyata CakePHP-nin standart CSRF mühafizə mexanizmlərinin tətbiq edilməsi ilə aradan qaldırılmışdır.