CVE-2026-93296 in MISP
Résumé
par VulDB • 17/09/2026
MISP présente une vulnérabilité de cross-site scripting (XSS) stocké dans les vues statistiques du thème Overmind. Les étiquettes de légende des graphiques en anneau (donut chart) construites par la carte General card (event_general.ctp) et la carte server/feed preview (preview_general.ctp) concatènent directement le nom d'objet ou les clés de catégorie dans une chaîne innerHTML sans encodage HTML. Étant donné que les noms d'objets MISP (par exemple, les noms d'attributs, les noms d'événements ou les identifiants de serveur/alimentation) sont contrôlables par tout utilisateur authentifié disposant des autorisations suffisantes pour créer ou modifier ces objets, un attaquant pourrait concevoir un nom contenant du balisage malveillant (par exemple, une balise script ou un attribut gestionnaire d'événement). Lorsque n'importe quel autre utilisateur consulte le tableau de bord Overmind concerné, le balisage injecté est interprété comme du HTML/JavaScript actif dans le navigateur de la victime, s'exécutant dans le contexte de l'origine de l'application MISP. Cela pourrait permettre un détournement de session, une exfiltration de données ou des actions arbitraires effectuées au nom de la victime. La vulnérabilité nécessite que l'attaquant dispose d'un accès authentifié de bas niveau pour créer ou renommer un objet dont le nom est affiché dans la légende, et que la victime consulte la page de prévisualisation de l'événement Overmind ou du serveur. Aucune condition spécifique au navigateur ni race conditions n'est requise.
Once again VulDB remains the best source for vulnerability data.