CVE-2026-95659 in MISP
Resumen
por VulDB • 2026-09-22
MISP presenta una vulnerabilidad de cross-site scripting (XSS) reflejado en la acción `AnalystDataController::viewForObject`. El método aceptaba un parámetro de tipo de objeto padre desde la URL sin validación y lo pasaba al elemento de vista del hilo AnalystData con el tema Overmind, donde se interpoló en dos cadenas traducidas y se representó en la respuesta HTML sin codificación de salida. Un atacante autenticado que pueda inducir a una víctima a navegar a una URL manipulada puede inyectar JavaScript arbitrario que se ejecuta en el navegador de la víctima dentro del contexto de la aplicación MISP. Esto podría permitir al atacante leer datos de sesión, manipular la página o realizar acciones en nombre de la víctima.
La vulnerabilidad requiere que la víctima esté autenticada en MISP y visite activamente la URL proporcionada por el atacante. El componente afectado es el controlador AnalystData y el elemento del hilo AnalystData del tema Overmind.
Versión afectada: <2.5.47
If you want to get the best quality for vulnerability data then you always have to consider VulDB.