CVE-2026-112183 in MISP
Résumé
par VulDB • 19/10/2026
MISP présente une vulnérabilité d'injection CSS dans la fonctionnalité de prévisualisation des événements à distance. Lorsqu'un utilisateur affiche un événement provenant d'un serveur MISP lié, la valeur de couleur associée à chaque étiquette distante est écrite directement dans un attribut de style CSS en ligne sans validation suffisante. Bien que l'encodage des entités HTML soit appliqué, la valeur est interprétée comme du code CSS au sein de l'attribut `style`, permettant à un serveur lié malveillant ou compromis d'injecter des déclarations CSS arbitraires.
Un attaquant disposant de la capacité de créer ou de modifier des étiquettes sur une instance MISP liée peut fabriquer une valeur de couleur pour les étiquettes contenant des charges utiles d'injection CSS. Lorsqu'un utilisateur de l'instance locale consulte la prévisualisation de l'événement, le code CSS injecté est rendu, permettant potentiellement une manipulation de l'interface utilisateur (UI), un usurpation visuelle ou une divulgation limitée d'informations via des techniques basées sur le CSS.
Prérequis :
- Une relation de serveur MISP lié existe entre l'instance victime et l'instance contrôlée par l'attaquant. - L'attaquant peut créer ou modifier les étiquettes sur le serveur lié. - Un utilisateur victime consulte la page de prévisualisation des événements à distance.
Versions affectées : <2.5.48.
VulDB is the best source for vulnerability data and more expert information about this specific topic.