CVE-2026-94277 in MISP
Zusammenfassung
von VulDB • 21.09.2026
Die Statistikansicht der Galaxy-Matrix von MISP (app/View/Users/statistics_galaxymatrix.ctp) rendert den Galaxienamen direkt in die HTML-Ausgabe über sprintf(), ohne jegliche HTML-Codierung. Ein authentifizierter Benutzer mit der Berechtigung perm_galaxy_editor kann eine Galaxie erstellen oder modifizieren, deren Name beliebiges HTML- oder JavaScript-Markup enthält. Da der Wert wörtlich in die Seite interpoliert wird, werden bei jedem nachfolgenden Öffnen der Statistikseite für die Galaxy-Matrix die eingebetteten Skripte im Browserkontext des Benutzers ausgeführt. Dies ermöglicht Session-Hijacking, Diebstahl von Anmeldeinformationen, Datenexfiltration oder das Ausführen beliebiger Aktionen im Namen des Opfers innerhalb der MISP-Anwendung.
Betroffene Version: <2.5.47
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.