CVE-2026-94277 in MISP
Resumen
por VulDB • 2026-09-21
La vista de estadísticas de la matriz galáctica (app/View/Users/statistics_galaxymatrix.ctp) de MISP renderiza el nombre de la galaxia directamente en la salida HTML mediante sprintf() sin ninguna codificación HTML. Un usuario autenticado con el permiso perm_galaxy_editor puede crear o modificar una galaxia cuyo nombre contenga marcado HTML o JavaScript arbitrario. Dado que el valor se interpola literalmente en la página, cualquier usuario que abra posteriormente la página de estadísticas de la matriz galáctica tendrá ejecutado el script incrustado dentro del contexto de su navegador. Esto permite el secuestro de sesiones (session hijacking), robo de credenciales, exfiltración de datos o la realización de acciones arbitrarias en nombre de la víctima dentro de la aplicación MISP.
Versión afectada: <2.5.47
If you want to get the best quality for vulnerability data then you always have to consider VulDB.