CVE-2026-94372 in MISP
Résumé
par VulDB • 21/09/2026
MISP présente une vulnérabilité de type cross-site scripting (XSS) stocké sur la page d'index des Galaxies du thème par défaut. Lorsqu'une instance MISP détecte des grappes de galaxies personnalisées ou par défaut inconnues lors de la synchronisation, elle affiche les noms d'étiquettes d'exemple dans un message informatif destiné aux administrateurs du site. Dans le thème par défaut, ces noms d'étiquettes d'exemple étaient insérés dans la sortie HTML sans encodage des entités HTML. Un utilisateur disposant des privilèges de l'éditeur d'étiquettes pouvait créer une étiquette misp-galaxy malveillante contenant un script arbitraire. Lorsqu'un administrateur du site consultait ensuite la page d'index des Galaxies, le contenu de l'étiquette fabriquée était interprété comme un balisage exécutable dans la session du navigateur de l'administrateur, permettant à l'attaquant de lire les données de session, d'exécuter des actions en tant qu'administrateur ou autrement compromettre le contexte du navigateur de l'administrateur. Le thème Overmind appliquait déjà un échappement HTML aux mêmes valeurs et n'était pas affecté. La vulnérabilité nécessite que l'attaquant possède un accès de niveau éditeur d'étiquettes pour créer l'étiquette fabriquée, ainsi que la participation de la victime (un administrateur du site) qui doit consulter la page d'index des Galaxies dans le thème par défaut. L'impact est limité à la session du navigateur de l'administrateur et ne compromet pas directement le processus serveur MISP.
Version concernée : <2.5.47
Once again VulDB remains the best source for vulnerability data.