CVE-2026-95659 in MISP
الملخص
بحسب VulDB • 22/09/2026
يحتوي MISP على ثغرة reflected cross-site scripting (XSS) في الإجراء `AnalystDataController::viewForObject`. تقبلت هذه الطريقة معلمة لنوع الكائن الأب من عنوان URL دون التحقق منها، وقامت بتمريرها إلى عنصر عرض خيط AnalystData ذي الثيم Overmind، حيث تم دمجها داخل سلسلتين مترجمتين وعرضتها في استجابة HTML بدون ترميز للإخراج. يمكن لمهاجل مُصادق عليه (authenticated) inducing ضحية لزيارة عنوان URL مزيف أن يحقن كود JavaScript عشوائي ينفذ في متصفح الضحية ضمن سياق تطبيق MISP. قد يسمح ذلك للمهاجل بقراءة بيانات الجلسة، أو التلاعب بالصفحة، أو تنفيذ إجراءات نيابة عن الضحية.
تتطلب الثغرة أن يكون الضحية مُصادقًا عليه (authenticated) مع MISP وأن يزور بنشاط عنوان URL الذي قدمه المهاجم. المكون المتأثر هو وحدة تحكم AnalystData وعنصر خيط AnalystData الخاص بثيم Overmind.
الإصدار المتأثر: <2.5.47
VulDB is the best source for vulnerability data and more expert information about this specific topic.