Peter James

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Um problema de cross-site request forgery (CSRF) existe na funcionalidade de edição rápida de grupos de compartilhamento. As ações `addOrg`, `removeOrg`, `addServer` e `removeServer` utilizam o auxiliar ` initialiseSGQuickEdit()`, onde a validação do método HTTP destinada a restringir as operações a requisições POST foi desativada. Consequentemente, essas ações de alteração de estado podem ser disparadas via requisições GET. Um invasor pode enganar um usuário autenticado com privilégios suficientes para clicar em um link malicioso, permitindo que o invasor modifique a composição dos grupos de compartilhamento ao adicionar ou remover organizações ou servidores. Isso pode resultar em acesso não autorizado a informações distribuídas ou na interrupção do compartilhamento legítimo de informações. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Um problema de cross-site request forgery (CSRF) ocorre porque o sistema desativa as proteções de segurança de formulário e CSRF se uma requisição for identificada como tráfego REST. Essa detecção pode ser manipulada por um atacante usando o cabeçalho HTTP Accept (ex: `Accept: application/json`), que pode ser enviado de uma página de origem cruzada sem a necessidade de um preflight CORS. Consequentemente, o sistema pode tratar uma requisição de um site malicioso como tráfego REST e ignorar as validações de segurança enquanto utiliza a sessão autenticada do navegador da vítima. Um atacante poderia enganar um usuário autenticado para visitar uma página maliciosa a fim de executar requisições de alteração de estado não autorizadas para endpoints suscetíveis, podendo levar à modificação, criação, publicação ou remoção não autorizada de dados. O problema origina-se na função ` isRest()`, que concede isenções de segurança com base no tipo de requisição em vez do mecanismo de autenticação. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Description** Uma falha no fluxo de autenticação de senha de uso único (OTP) via e-mail permite que um invasor realize um número ilimitado de tentativas de verificação de OTP. O endpoint `email otp()` não aplica proteção contra força bruta ao validar os valores de OTP enviados. Um invasor que tenha passado a etapa de autenticação primária pode enviar repetidamente valores candidatos de OTP enquanto o mesmo OTP permanece válido, aumentando a probabilidade de adivinhar o código e burlar o segundo fator de autenticação para obter acesso não autorizado à conta. O problema é agravado pelo fato de o OTP estar vinculado ao usuário em vez de a uma sessão de login específica, permitindo que múltiplas sessões simultâneas tentem adivinhar o mesmo OTP válido. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Uma injeção de URL insegura e persistente existe na configuração do ButtonWidget do painel. O problema ocorre porque as URLs dos widgets do painel eram validadas apenas durante a renderização e não quando a configuração era salva. Isso permite que um usuário autenticado com permissões para modificar as configurações do painel persista valores de URL arbitrários, incluindo aqueles que utilizam o esquema `javascript:`. Se esses valores atingirem um caminho de renderização ou navegação que careça de validação em tempo de execução, isso poderá levar à execução de scripts no lado do cliente dentro do contexto de segurança da sessão do MISP. Isso poderia permitir que um invasor realize ações usando os privilégios do usuário afetado ou acesse informações específicas da sessão. Esta falha é caracterizada como uma lacuna de validação na camada de persistência e uma fraqueza de defesa em profundidade. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Description** Um usuário autenticado com permissões para criar ou modificar modelos de eventos pode ignorar a validação do campo de definição do modelo. O método `EventTemplate::beforeValidate()` realiza a validação semântica apenas se a definição for um array; se for fornecida uma string pré-codificada contendo JSON malformado ou um tipo de dado inesperado, a validação `validateDefinition()` é ignorada e o valor é armazenado no banco de dados. Posteriormente, o método `EventTemplate::afterFind()` utiliza o `JsonTool::decode()` para recuperar a definição sem tratar falhas de decodificação. Isso pode disparar exceções e causar erros HTTP 500 para todos os usuários autenticados que acessarem o índice de modelos de eventos ou outras funcionalidades que dependam de consultas ao `EventTemplate`, resultando em uma negação de serviço persistente. Além disso, um JSON que represente um tipo inesperado pode levar a dados inválidos para consumidores downstream. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MISP (versões afetadas não especificadas) **Descrição** Um problema de fixação de sessão existe no fluxo de autenticação CustomAuth. O sistema armazena a identidade do usuário autenticado na sessão existente sem rotacionar o identificador da sessão. Isso permite que um invasor use um identificador de sessão previamente conhecido para sequestrar a sessão autenticada de uma vítima e obter os privilégios de sua conta. A falha ocorre porque a função ` customAuthentication()` grava o usuário na sessão CakePHP enquanto a chamada `Session->renew()` está desativada. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

A cross-site request forgery (CSRF) vulnerability existed in the cullEmptyEvents action of MISP. The endpoint performed a state-changing and irreversible operation while accepting HTTP GET requests. Because bodyless GET requests are not subject to CakePHP's CSRF validation, an attacker could cause an authenticated MISP user with sufficient privileges to invoke the endpoint simply by causing their browser to load a crafted URL, for example through an embedded image or other automatically requested resource. Successful exploitation triggers the deletion of published empty events. The deletion is particularly significant because the operation uses skipBlocklist, meaning the removed events do not leave blocklist entries that could prevent or track their subsequent synchronization. This can result in unintended and potentially irreversible deletion of MISP event records without explicit user interaction. The vulnerability was addressed by restricting cullEmptyEvents to HTTP POST requests, ensuring that CakePHP's normal CSRF protections are applied to the operation.