CVE-2026-91819

MISP'nin etkilenen sürümleri, CakePHP istek yöntemi geçersiz kılma (request-method override) işlemine, CSRF ve form güvenlik doğrulamasını devre dışı bırakabilecek bir şekilde güvenmektedir. CakePHP, etkin istek yöntemini yeniden yazarak _method alanını veya X-HTTP-Method-Override başlığını dikkate alır. Normal yazma fiilleri olan POST, PUT, PATCH ve DELETE dışındaki geçersiz kılma değerleri için CakePHP ayrıca ayrıştırılmış istek gövdesini temizler. Ardından MISP'nin güvenlik bileşeni, istek verilerinin kalıp kalmadığına bağlı olarak _validatePost() ve _validateCsrf() işlemlerinin gerçekleştirilip gerçekleştirilmeyeceğine karar verir. Şunun gibi bir değerle: _method=GET bu kontroller çalışmadan önce gövde boşalır, böylece her iki koruma da atlanır. Bu nedenle, yalnızca bu geçersiz kılmayı içeren siteler arası bir form, parametreleri istek gövdesi yerine URL'den alınan eylemlere ulaşabilir. Etkilenen sürüm: ≤2.5.45