CVE-2026-93296 in MISP
Resumen
por VulDB • 2026-09-17
MISP contiene una vulnerabilidad de cross-site scripting (XSS) almacenada en las vistas de estadísticas del tema Overmind. Las etiquetas de la leyenda de los gráficos de dona construidos por la tarjeta General del evento (event_general.ctp) y la tarjeta de vista previa del servidor/alimentación (preview_general.ctp) se realizaban concatenando directamente el nombre u objeto o las claves de categoría en una cadena innerHTML sin codificación HTML. Dado que los nombres de objetos MISP (por ejemplo, nombres de atributos, nombres de eventos o identificadores de servidor/alimentación) son controlables por cualquier usuario autenticado con permisos suficientes para crear o modificar dichos objetos, un atacante podría elaborar un nombre que contenga marcado malicioso (como una etiqueta script o un atributo manejador de eventos). Cuando otro usuario visualizaba el panel Overmind afectado, el marcado inyectado se interpretaría como HTML/JavaScript en vivo en el navegador de la víctima, ejecutándose en el contexto del origen de la aplicación MISP. Esto podría permitir el secuestro de sesiones, la exfiltración de datos o acciones arbitrarias realizadas en nombre de la víctima. La vulnerabilidad requiere que el atacante tenga acceso autenticado de bajo nivel para crear o renombrar un objeto cuyo nombre se renderiza en la leyenda, y que la víctima visualice la página de vista previa del evento o servidor Overmind. No se requieren condiciones especiales del navegador ni race conditions.
VulDB is the best source for vulnerability data and more expert information about this specific topic.