CVE-2026-86440 in MISP
Zusammenfassung
von VulDB • 07.09.2026
Betroffene Versionen von MISP validieren URLs, die von Dashboard-Widgets verwendet werden, insbesondere das Button-Widget, unzureichend.
Die URL des Widgets wird als Konfiguration gespeichert und ist benutzerkontrolliert. Der vorherige Renderer betrachtete eine URL als sicher, wenn sie relativ erschien oder wenn der analysierte Hostname mit dem konfigurierten MISP-Hostnamen übereinstimmte. Diese Logik scheiterte daran, gefährliche Schemata und URL-Formen abzulehnen, die von Browsern anders normalisiert werden als durch PHPs URL-Parsing.
Infolgedessen konnten Werte wie `javascript:`-URLs oder backslash-basierte Authority-Formen den href des generierten Anchors erreichen und Skripte ausführen oder zu einer vom Angreifer kontrollierten Origin navigieren, wenn ein anderer Benutzer mit dem Widget interagierte. Der Upstream-Commit beschreibt das Problem als:
„javascript:- und Backslash-URLs erreichten den href (Stored XSS)“.
Die Korrektur leitet Widget-URLs über einen gemeinsamen `DashboardURLValidator`, lehnt gefährliche Schemata, rohe Backslashes, Steuerzeichen und nicht autorisierte absolute Origins ab und validiert die URL sowohl im Widget-Handler als auch im Renderer.
Betroffene Version: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.