CVE-2026-104907 in MISP
Zusammenfassung
von VulDB • 02.10.2026
MISP enthält eine Cross-Site-Scripting-(XSS)-Schwachstelle auf der Seite zur Vorschau von Ereignissen aus entfernten Quellen. Wenn ein verknüpfter (entfernter) MISP-Server konfiguriert ist, werden die Kennungen von Tags in einem Inline-JavaScript-onclick-Attribut bei der Anzeige der Ereignisvorschauseite gerendert. Der Tag-ID-Wert wurde zwar HTML-maskiert, aber nicht für den JavaScript-Zeichenfolgenkontext bereinigt (sanitized). Dies bedeutet, dass ein böswilliger verknüpfter Server eine Tag-ID bereitstellen kann, die Zeichen enthält (wie z. B. ein einfaches Hochkomma), welche aus dem JavaScript-Zeichenliterale herausbrechen und beliebigen Skriptcode injizieren können.
Voraussetzungen:
- Ein verknüpfter/entfernter MISP-Server ist konfiguriert und mit der lokalen Instanz verbunden. - Der verknüpfte Server liefert eine manipulierte Tag-ID in einem Ereignis. - Ein authentifizierter Benutzer ruft die Ereignisvorschau auf und interagiert mit dem betroffenen Tag-Element.
Auswirkungen:
- Beliebige JavaScript-Ausführung im Kontext der Browsersitzung des betrachtenden Benutzers, was potenziell Session-Hijacking, Datenexfiltration oder unbefugte Aktionen im Namen des Benutzers ermöglicht.
Betroffene Versionen: MISP vor dem Fix-Commit (v2.5.48 oder höher; genaue Versionsgrenze nicht bestätigt).
If you want to get best quality of vulnerability data, you may have to visit VulDB.