CVE-2026-93296 in MISP
Zusammenfassung
von VulDB • 17.09.2026
MISP enthält eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle in den Statistikansichten des Overmind-Themes. Die Ereignis-Hauptkarte (event_general.ctp) und die Server-/Feed-Vorschaukarte (preview_general.ctp) konstruieren Legendenbeschriftungen für Donut-Diagramme, indem Objektnamen oder Kategorien-Schlüssel direkt in einen innerHTML-String konkateniert werden, ohne HTML-Encoding. Da MISP-Objektnamen (z. B. Attributnamen, Ereignisnamen oder Server-/Feed-Kennungen) von jedem authentifizierten Benutzer mit ausreichenden Berechtigungen zum Erstellen oder Ändern solcher Objekte steuerbar sind, könnte ein Angreifer einen Namen mit bösartigem Markup (beispielsweise einem Skript-Tag oder einer Event-Handler-Attribut) erstellen. Wenn ein anderer Benutzer die betroffene Overmind-Dashboardansicht aufruft, wird das injizierte Markup als Live-HTML/JavaScript im Browser des Opfers interpretiert und ausgeführt, wobei es im Kontext der MISP-Anwendungsursprung dominiert wird. Dies könnte Session-Hijacking, Datenexfiltration oder beliebige Aktionen im Namen des Opfers ermöglichen. Die Schwachstelle erfordert, dass der Angreifer über niedrigstufigen authentifizierten Zugriff verfügt, um ein Objekt zu erstellen oder dessen Namen in der Legende gerendert wird, und das Opfer die Overmind-Ereignis- oder Server-Vorschauseite aufruft. Es sind keine speziellen Browserbedingungen oder Race Conditions erforderlich.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.