CVE-2026-86440 in MISP
Resumen
por VulDB • 2026-09-07
Las versiones afectadas de MISP validan insuficientemente las URLs utilizadas por los widgets del panel de control, en particular el widget Button (Botón).
La URL del widget se almacena en la configuración y está controlada por un usuario. El renderizador anterior consideraba segura una URL si aparecía como relativa o si su nombre de host analizado coincidía con el hostname configurado de MISP. Esta lógica no rechazaba esquemas peligrosos ni formas de URLs que los navegadores normalizan de manera diferente a la forma en que PHP analiza las URLs.
Como resultado, valores como URLs `javascript:` o formas basadas en barras invertidas (`\`) podían llegar al atributo `href` del ancla generada y ejecutar scripts o navegar hacia un origen controlado por el atacante cuando otro usuario interactuaba con el widget. El commit upstream describe la incidencia de la siguiente manera:
“Las URLs `javascript:` y las basadas en barras invertidas alcanzaban el href (XSS almacenado)”.
La solución dirige las URLs del widget a través de un validador compartido (`DashboardURLValidator`), rechaza esquemas peligrosos, barras invertidas sin procesar, caracteres de control y orígenes absolutos no autorizados, y valida la URL tanto en el manejador del widget como en el renderizador.
Versión afectada: ≤2.5.45
If you want to get best quality of vulnerability data, you may have to visit VulDB.