CVE-2026-95665 in MISP
Zusammenfassung
von VulDB • 22.09.2026
MISP enthält eine reflektierte Cross-Site-Scripting-(XSS)-Schwachstelle im Bestätigungsformular für den Export der REST-Suche von Ereignissen. Die View-Vorlage app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp rendert eine vom URL gelieferte Liste von Event-IDs in einen einseitig angeführten JavaScript-Zeichenliteral unter Verwendung von PHPs json_encode() ohne jegliche Hex-Codierungsflags. Standardmäßig maskiert json_encode() doppelte Anführungszeichen und Backslashes, aber es werden keine einfachen Anführungszeichen maskiert. Da der JavaScript-Zeichenliteral durch einfache Anführungszeichen begrenzt ist, kann ein Angreifer ein einfaches Anführungszeichen injizieren, um das Zeichenliteral zu beenden und beliebigen JavaScript-Code in der Browsersitzung des Opfers auszuführen.
Die Schwachstelle betrifft die Themes „Default“ und „UiBeta“, von denen beide diese View rendern. Die eigene Kopie des Formulars im Theme „Overmind“ hat den Wert bereits durch ein maskiertes Datenattribut geleitet und war von dieser spezifischen Sink nicht betroffen.
Voraussetzungen: Das Opfer muss ein authentifizierter MISP-Benutzer sein und die vom Angreifer erstellte URL aktiv öffnen oder aufrufen. Der Angreifer benötigt kein Konto und keinen vorherigen Zugriff auf die MISP-Instanz.
Sicherheitsauswirkung: Eine erfolgreiche Ausnutzung ermöglicht die Ausführung von beliebigem JavaScript im Kontext der MISP-Webanwendung, was potenziell zu Session-Hijacking, unbefugten Aktionen im Namen des Opfers, dem Abfluss sensibler Daten, die in der Sitzung sichtbar sind, oder weiteren clientseitigen Angriffen führen kann. Die eigene Vertraulichkeit, Integrität und Verfügbarkeit der anfälligen Komponente werden nicht direkt kompromittiert; die Auswirkung betrifft die zugrunde liegende Benutzersitzung.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.