CVE-2026-94277 in MISP
الملخص
بحسب VulDB • 21/09/2026
تعرض إحصائيات مصفوفة مجرة (Galaxy) في MISP (app/View/Users/statistics_galaxymatrix.ctp) اسم المجرة مباشرةً إلى مخرجات HTML عبر دالة sprintf() دون أي تشفير لـ HTML. يمكن لمستخدم مُصادق عليه يمتلك صلاحية perm_galaxy_editor إنشاء أو تعديل مجرة يحتوي اسمها على علامات HTML أو JavaScript تعسفية. ونظراً لأن القيمة تُدمج حرفياً في الصفحة، فإن أي مستخدم يفتح لاحقاً صفحة إحصائيات مصفوفة المجرات سيُنفذ السcript المضمن ضمن سياق متصفحه. يتيح هذا اختطاف الجلسة (Session Hijacking)، وسرقة الاعتمادات (Credential Theft)، واستخراج البيانات (Data Exfiltration)، أو تنفيذ إجراءات تعسفية نيابة عن الضحية داخل تطبيق MISP.
الإصدارات المتأثرة: <2.5.47
If you want to get the best quality for vulnerability data then you always have to consider VulDB.