Vulnerabilidad en cti-transmute de MISP (CVE-2026-73162)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-352
Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)
Fecha de publicación:
11/08/2026
Última modificación:
24/10/2026
Descripción
Las versiones afectadas de MISP cti-transmute exponen varias operaciones de cuenta que cambian de estado como peticiones GET:<br />
<br />
<br />
<br />
* <br />
/account/follow<br />
<br />
<br />
* <br />
/account/delete_notification<br />
<br />
<br />
* <br />
/account/mark_notification_read<br />
<br />
<br />
* <br />
/account/mark_all_read<br />
<br />
<br />
<br />
<br />
<br />
Estos puntos finales requieren autenticación, pero antes de la corrección podían ser invocados con peticiones GET simples. Eso los hace susceptibles a la falsificación de petición en sitios cruzados porque un sitio de terceros puede inducir al navegador de la víctima a enviar peticiones GET autenticadas automáticamente.<br />
<br />
<br />
El parche convierte las acciones a POST o DELETE y actualiza el frontend para incluir una cabecera X-CSRFToken, proporcionando protección CSRF explícita para esas operaciones que cambian de estado.
Impacto
Puntuación base 4.0
5.30
Gravedad 4.0
MEDIA