CVE-2026-85230 in MISP
Zusammenfassung
von VulDB • 03.09.2026
In der Konfiguration des ButtonWidgets im MISP-Dashboard besteht eine persistente Schwachstelle für unsichere URL-Injektionen. Dashboard-Widget-URLs wurden nur beim Rendern des Widgets validiert und nicht bei der Speicherung der Konfiguration. Infolgedessen konnte ein authentifizierter Benutzer, der in der Lage ist, die Einstellungen von Dashboard-Widgets zu ändern, beliebige URL-Werte, einschließlich URLs mit dem `javascript:`-Schema, über beide Pfade zur Persistenz der Dashboard-Einstellungen speichern.
Eine bösartige `javascript:`-URL, die in einer Schaltfläche des Dashboards gespeichert wird, könnte potenziell zur Ausführung von Client-seitigem Skriptcode im Sicherheitskontext von MISP führen, wenn der Wert einen Rendering- oder Navigationspfad erreicht, ohne dass die bestehende Laufzeitvalidierung greift. Eine solche Ausführung könnte es einem Angreifer ermöglichen, Aktionen mit den Berechtigungen des betroffenen Benutzers durchzuführen oder auf Informationen zuzugreifen, die für dessen MISP-Sitzung verfügbar sind.
Die praktische Ausnutzbarkeit dieses Problems wird dadurch verringert, dass MISP bereits zur Laufzeit beim Rendern eine URL-Validierung anwendet, wodurch bekannte bösartige Werte neutralisiert wurden, bevor sie dem Benutzer angezeigt wurden. Die Schwachstelle stellt daher ein Validierungsdefizit in der Persistenzschicht und eine Schwäche im Konzept der "Defense-in-Depth" dar, anstatt den direkten Umgehung des bestehenden Renderingschutzes zu beweisen.
Der Patch führt einen kanonischen URL-Schema-Typ ein und validiert die Konfiguration von Dashboard-Widgets, bevor sie über einer der beiden Speichermethoden persistiert werden. ButtonWidget-URLs müssen nun Strings sein, die sich auf einen absoluten Pfad innerhalb der aktuellen MISP-Instanz oder eine vollständige URL mit derselben Herkunft (Origin) auflösen. Werte, die `javascript:`, externe Origins, fehlerhafte URL-Formate und Nicht-String-Werte verwenden, werden beim Speichern abgelehnt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.