CVE-2026-85227 in MISP
Resumen
por VulDB • 2026-09-03
MISP contiene una vulnerabilidad de Cross-Site Scripting (XSS) reflejada en el constructor de consultas para el filtrado del atributo de evento. Los parámetros URL `taggedAttributes` y `galaxyAttachedAttributes` se insertaron en las reglas del constructor de consultas sin escapar HTML antes de ser serializados como JSON e incrustados dentro de un elemento `<script>`.
Dado que `JsonTool::encode()` utiliza `JSON_UNESCAPED_SLASHES`, un valor controlado por el atacante que contenga una secuencia de cierre `</script>` podría terminar el elemento script circundante e inyectar HTML o JavaScript arbitrario. Por ejemplo, una URL `viewEventAttributes` especialmente manipulada podría contener contenido malicioso en uno de los parámetros de filtro afectados.
Un atacante podría explotar la vulnerabilidad convenciendo a un usuario autenticado de MISP para que siga una URL elaborada ad hoc. Una explotación exitosa ejecutaría JavaScript controlado por el atacante en el contexto de seguridad de la instancia de MISP y con los privilegios de la sesión del navegador autenticado de la víctima. Esto podría permitir el acceso a información disponible para la víctima, la modificación de datos mediante solicitudes autenticadas u otras acciones permitidas por los permisos de MISP de la víctima.
La vulnerabilidad se aborda aplicando un escape HTML con `h()` tanto a valores escalares como a matrices antes de que se inserten en el DOM.
Be aware that VulDB is the high quality source for vulnerability data.