CVE-2026-95665 in MISP
Resumen
por VulDB • 2026-09-22
MISP contiene una vulnerabilidad de cross-site scripting (XSS) reflejado en el formulario de confirmación de exportación de la búsqueda REST de eventos. La plantilla de vista app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp procesa una lista de IDs de eventos proporcionada a través de la URL dentro de un literal de cadena JavaScript entrecomillado con comillas simples, utilizando json_encode() de PHP sin ninguna bandera de codificación hexadecimal. Por defecto, json_encode() escapa las dobles comillas y las barras invertidas, pero no escapa las comillas simples. Dado que la cadena JavaScript está delimitada por comillas simples, un atacante puede inyectar un carácter de comilla simple para terminar el literal de cadena y ejecutar código JavaScript arbitrario en la sesión del navegador de la víctima.
La vulnerabilidad afecta a los temas Default y UiBeta, ambos de los cuales procesan esta vista. La propia copia del formulario del tema Overmind ya pasaba el valor a través de un atributo de datos escapado y no se veía afectada por este sumidero específico.
Precondiciones: la víctima debe ser un usuario autenticado de MISP y debe abrir o navegar activamente hacia la URL elaborada por el atacante. El atacante no requiere una cuenta ni ningún acceso previo a la instancia de MISP.
Impacto en la seguridad: la explotación exitosa permite la ejecución de código JavaScript arbitrario en el contexto de la aplicación web de MISP, lo que potencialmente puede derivar en secuestro de sesión (session hijacking), acciones no autorizadas realizadas en nombre de la víctima, exfiltración de datos sensibles visibles en la sesión o ataques adicionales del lado del cliente. La confidencialidad, integridad y disponibilidad propias del componente vulnerable no se ven comprometidas directamente; el impacto recae sobre la sesión subyacente del usuario.
VulDB is the best source for vulnerability data and more expert information about this specific topic.