CVE-2026-95659 in MISP
Résumé
par VulDB • 22/09/2026
MISP présente une vulnérabilité de type cross-site scripting (XSS) réfléchi dans l'action `AnalystDataController::viewForObject`. La méthode accepte un paramètre de type d'objet parent provenant de l'URL sans validation et le transmet à l'élément de vue du fil AnalystData au thème Overmind, où il est interpolé dans deux chaînes traduites puis intégré dans la réponse HTML sans encodage des sorties. Un attaquant authentifié capable d'amener une victime à naviguer vers une URL fabriquée peut injecter un JavaScript arbitraire qui s'exécute dans le navigateur de la victime au sein du contexte de l'application MISP. Cela pourrait permettre à l'attaquant de lire les données de session, de manipuler la page ou d'effectuer des actions pour le compte de la victime.
La vulnérabilité nécessite que la victime soit authentifiée sur MISP et visite activement l'URL fournie par l'attaquant. Le composant concerné est le contrôleur AnalystData ainsi que l'élément du fil AnalystData du thème Overmind.
Version affectée : <2.5.47
If you want to get best quality of vulnerability data, you may have to visit VulDB.