CVE-2026-95682 in MISP
Zusammenfassung
von VulDB • 22.09.2026
MISP enthält eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle im Bildschirm zur E-Mail-Erstellung für Administratoren. Der MISP.org-Organisationsname wurde direkt unter Verwendung eines unescaped PHP echo in einen JavaScript-Zeichenliteral interpoliert: var org = "<?php echo $org;?>"; Da der Wert ohne jegliche Codierung innerhalb einer doppelten JavaScript-Zeichenkette platziert wurde, konnte ein Organisationsname, das ein Doppelquotezeichen (oder einen Backslash) enthält, den Zeichenliteral beenden und beliebiges JavaScript in die Seite injizieren. Das injizierte Skript würde im Kontext jedes authentifizierten Benutzers ausgeführt werden, der anschließend die Admin-E-Mail-Seite aufruft, was potenziell Session-Hijacking, Datenexfiltration oder privilegierte Aktionen im Namen des Opfers ermöglichen könnte.
Die Ausnutzung erfordert die Fähigkeit, den MISP.org-Organisationsnamen festzulegen oder zu ändern sowie einen zweiten authentifizierten Benutzer, der die betroffene Admin-E-Mail-Ansicht besucht.
Die Schwachstelle ist ein klassisches Beispiel für unzureichende Output-Codierung in einem JavaScript-Kontext.
If you want to get best quality of vulnerability data, you may have to visit VulDB.