CVE-2026-95659 in MISP
Zusammenfassung
von VulDB • 22.09.2026
MISP enthält eine reflektierte Cross-Site-Scripting-(XSS)-Schwachstelle in der Aktion `AnalystDataController::viewForObject`. Die Methode akzeptierte einen Parameter für den übergeordneten Objekttyp aus der URL ohne Validierung und übergab ihn an das Analyst-Daten-Thread-Ansichtselement im Overmind-Thema, wo es in zwei übersetzte Zeichenfolgen interpoliert und ohne Output-Encoding in die HTML-Antwort gerendert wurde. Ein authentifizierter Angreifer, der ein Opfer dazu bringen kann, eine manipulierte URL aufzurufen, kann beliebiges JavaScript injizieren, das im Browser des Opfers innerhalb des MISP-Anwendungskontexts ausgeführt wird. Dies könnte es dem Angreifer ermöglichen, Sitzungsdaten zu lesen, die Seite zu manipulieren oder Aktionen im Namen des Opfers auszuführen.
Die Schwachstelle erfordert, dass das Opfer bei MISP authentifiziert ist und aktiv die vom Angreifer bereitgestellte URL aufruft. Die betroffene Komponente ist der AnalystData-Controller sowie das Analyst-Daten-Thread-Element des Overmind-Themas.
Betroffene Version: <2.5.47
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.