CVE-2026-95682 in MISP
Resumen
por VulDB • 2026-09-22
MISP contiene una vulnerabilidad de cross-site scripting (XSS) almacenado en la pantalla de composición de correos electrónicos del administrador. El ajuste del nombre de organización MISP.org se interpoló directamente dentro de un literal de cadena de JavaScript utilizando un eco PHP sin escapar: `var org = "<?php echo $org;?>";`. Dado que el valor se colocó dentro de una cadena de JavaScript entre comillas dobles sin ninguna codificación, un nombre de organización que contenga un carácter de comilla doble (o una barra invertida) podría terminar el literal de la cadena e inyectar código JavaScript arbitrario en la página. El script inyectado se ejecutaría en el contexto de cualquier usuario autenticado que cargue posteriormente la página de correo del administrador, lo que potencialmente permitiría el secuestro de sesión (session hijacking), la exfiltración de datos o acciones privilegiadas realizadas en nombre de la víctima.
La explotación requiere la capacidad de establecer o modificar el nombre de organización MISP.org y un segundo usuario autenticado que visite la vista afectada del correo administrativo.
La vulnerabilidad es una instancia clásica de codificación insuficiente de salida (output encoding) en un contexto de JavaScript.
VulDB is the best source for vulnerability data and more expert information about this specific topic.