CVE-2026-85236

MISP'in cullEmptyEvents eyleminde bir siteler arası istek sahteciliği (CSRF) zafiyeti bulunmaktaydı. Uç nokta, HTTP GET isteklerini kabul ederken durum değiştiren ve geri döndürülemez bir işlem gerçekleştiriyordu. Gövdesiz GET istekleri CakePHP'nin CSRF doğrulamasına tabi olmadığından, bir saldırgan; örneğin gömülü bir resim veya otomatik olarak talep edilen diğer kaynaklar aracılığıyla tarayıcılarının özel olarak hazırlanmış bir URL'yi yüklemesini sağlayarak, yeterli yetkilere sahip kimliği doğrulanmış bir MISP kullanıcısının bu uç noktayı çağırmasına neden olabilirdi. Başarılı bir istismar, yayınlanmış boş olayların silinmesini tetikler. Bu silme işlemi özellikle önemlidir çünkü işlem skipBlocklist özelliğini kullanır; yani kaldırılan olaylar, sonraki senkronizasyonlarını engelleyebilecek veya izleyebilecek engelleme listesi kayıtları bırakmaz. Bu durum, açık bir kullanıcı etkileşimi olmaksızın MISP olay kayıtlarının istenmeyen ve potansiyel olarak geri döndürülemez şekilde silinmesiyle sonuçlanabilir. Zafiyet, cullEmptyEvents işleminin yalnızca HTTP POST istekleriyle sınırlandırılmasıyla giderilmiş ve böylece operasyona CakePHP'nin standart CSRF korumalarının uygulanması sağlanmıştır.