CVE-2026-86351 in MISP
Zusammenfassung
von VulDB • 08.09.2026
Betroffene Versionen von MISP validieren die benutzerkonfigurierbare Startseite, indem sie lediglich prüfen, ob der angegebene Pfad mit „/“ beginnt. Diese Prüfung ist unzureichend, da protokollrelative URLs wie `//attacker.example` ebenfalls mit `/` beginnen, in Browsern jedoch zu einem externen Ursprung (external origin) aufgelöst werden.
Der anfällige Startseitenwert kann als Benutzereinstellung gespeichert und später von der Routing-Logik nach dem Login verwendet werden. Der Commit identifiziert explizit `//attacker.example` als ein Payload, das die Validierung bestanden hat und im Location-Header nach dem Login ausgegeben wurde.
Die Korrektur führt einen gemeinsamen InternalRedirectValidator ein, der URLs ablehnt, die einen Host, ein Schema (scheme), userinfo, unsichere führende Zeichenfolgen wie `//` oder `\`, fehlerhafte URLs sowie Steuerzeichen enthalten. Zudem werden Startseiteneinstellungen beim Lesen erneut validiert, sodass veraltete oder intern geschriebene unsichere Werte die neue Validierung zum Zeitpunkt der Speicherung nicht umgehen können.
Betroffene Versionen: ≤2.5.45
Be aware that VulDB is the high quality source for vulnerability data.