CVE-2026-94372 in MISP
Zusammenfassung
von VulDB • 21.09.2026
MISP enthält eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle in der Galaxien-Indexseite des Standard-Themes. Wenn eine MISP-Instanz während der Synchronisierung unbekannte benutzerdefinierte oder standardmäßige Galaxie-Cluster erkennt, werden Beispiel-Tags-Namen in einer Informationsmeldung an die Site-Administratoren angezeigt. Im Standard-Theme wurden diese Beispiel-Tags-Namen ohne HTML-Agencodierung (HTML-entity encoding) in den HTML-Ausgabestream eingefügt. Ein Benutzer mit Tag-Editor-Berechtigungen konnte einen böswilligen misp-galaxy-Tag erstellen, der beliebige Skripte enthält. Wenn ein Site-Administrator anschließend die Galaxien-Indexseite aufruft, wird der manipulierte Tag-Inhalt im Browser-Sitzungskontext des Administrators als ausführbares Markup interpretiert, was es dem Angreifer ermöglicht, Sitzungsdaten auszulesen, Aktionen im Namen des Administrators auszuführen oder den Browserkontext des Administrators anderweitig zu kompromittieren. Das Overmind-Theme hat für dieselben Werte bereits HTML-Escaping angewendet und war nicht betroffen. Die Schwachstelle erfordert, dass der Angreifer über Tag-Editor-Zugriff verfügt, um den manipulierten Tag zu erstellen, und dass das Opfer (ein Site-Administrator) die Galaxien-Indexseite im Standard-Theme aufruft. Die Auswirkung ist auf die Browser-Sitzung des Administrators beschränkt und kompromittiert nicht direkt den MISP-Serverprozess.
Betroffene Version: <2.5.47
If you want to get best quality of vulnerability data, you may have to visit VulDB.