CVE-2026-85227 in MISP
Zusammenfassung
von VulDB • 03.09.2026
MISP enthält eine reflektierte Cross-Site-Scripting-(XSS)-Schwachstelle im Query-Builders für die Filterung von Ereignisattributen. Die URL-Parameter `taggedAttributes` und `galaxyAttachedAttributes` wurden ohne HTML-Escaping in die Regeln des Query-Builders eingefügt, bevor sie als JSON serialisiert und in ein `<script>`-Element eingebettet wurden.
Da `JsonTool::encode()` das Flag `JSON_UNESCAPED_SLASHES` verwendet, könnte ein von einem Angreifer kontrollierter Wert, der eine schließende `</script>`-Sequenz enthält, das umgebende Script-Element beenden und beliebigen HTML-Code oder JavaScript injizieren. Ein speziell angefertigter Aufruf für die URL `viewEventAttributes` könnte beispielsweise bösartigen Inhalt in einem der betroffenen Filterparameter enthalten.
Ein Angreifer kann diese Schwachstelle ausnutzen, indem er einen authentifizierten MISP-Benutzer dazu bringt, eine manipulierte URL aufzurufen. Eine erfolgreiche Ausnutzung würde führen zur Ausführung von vom Angreifer kontrolliertem JavaScript im Sicherheitskontext der MISP-Instanz und mit den Berechtigungen der authentifizierten Browsersitzung des Opfers. Dies könnte den Zugriff auf für das Opfer verfügbare Informationen, die Änderung von Daten über authentifizierte Anfragen oder andere Aktionen ermöglichen, die durch die MISP-Berechtigungen des Opfers erlaubt sind.
Die Schwachstelle wird behoben, indem HTML-Escaping mit der Funktion `h()` sowohl auf skalare als auch auf Array-Werte angewendet wird, bevor diese in das DOM eingefügt werden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.