Vulnerabilidad en cti-transmute de misp (CVE-2026-69082)

CTI-Transmute contenía una vulnerabilidad de falsificación de petición en sitios cruzados en la funcionalidad de eliminación de usuarios administrativos. El endpoint /account/delete/[id] aceptaba peticiones HTTP GET para una operación que modificaba el estado de la aplicación.<br /> <br /> Un atacante remoto no autenticado podría construir un enlace malicioso o incrustar una petición dirigida a este endpoint e inducir a un administrador autenticado de CTI-Transmute a visitar el contenido controlado por el atacante. Si el administrador tenía una sesión activa, el navegador incluiría automáticamente las credenciales de sesión del administrador, haciendo que la cuenta de usuario seleccionada fuera eliminada sin que el administrador confirmara intencionalmente la operación.<br /> <br /> La explotación exitosa requiere interacción de un administrador actualmente autenticado que tenga permiso para eliminar usuarios. El atacante no necesita una cuenta de CTI-Transmute o privilegios administrativos porque la petición falsificada se ejecuta utilizando la sesión del administrador víctima.<br /> <br /> La vulnerabilidad podría permitir a un atacante eliminar cuentas de usuario arbitrarias, resultando en una modificación no autorizada del estado de la aplicación y denegación de acceso para los usuarios afectados. Dependiendo de si los administradores pueden eliminar a otros administradores o la cuenta administrativa final, la explotación también podría interrumpir la administración de la instancia de CTI-Transmute.<br /> <br /> El parche resuelve el problema restringiendo el endpoint de eliminación a peticiones HTTP POST y enviando la eliminación a través de un formulario que contiene un token CSRF.