CVE-2026-95665 in MISP
Résumé
par VulDB • 22/09/2026
MISP présente une vulnérabilité de type cross-site scripting (XSS) réfléchi dans le formulaire de confirmation d'exportation par recherche REST des événements. Le modèle d'affichage app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp intègre une liste d'IDs d'événements fournis via l'URL dans un littéral de chaîne JavaScript entre guillemets simples, en utilisant la fonction PHP json_encode() sans aucun indicateur d'encodage hexadécimal. Par défaut, json_encode() échappe les doubles guillemets et les antislashs, mais n'échape pas les apostrophes (guillemets simples). Étant donné que la chaîne JavaScript est délimitée par des apostrophes, un attaquant peut injecter un caractère d'apostrophe pour terminer le littéral de chaîne et exécuter du code JavaScript arbitraire dans la session du navigateur de la victime.
La vulnérabilité affecte les thèmes Default et UiBeta, qui rendent tous deux ce modèle. La copie propre au thème Overmind du formulaire transmet déjà la valeur via un attribut de données échappé et n'est pas touchée par cette source d'injection (sink) spécifique.
Prérequis : la victime doit être un utilisateur authentifié de MISP et doit ouvrir activement ou naviguer vers l'URL fabriquée par l'attaquant. L'attaquant ne nécessite pas de compte ni d'accès préalable à l'instance MISP.
Impact sur la sécurité : une exploitation réussie permet l'exécution de code JavaScript arbitraire dans le contexte de l'application web MISP, pouvant entraîner un détournement de session (session hijacking), des actions non autorisées effectuées au nom de la victime, ou l'exfiltration de données sensibles visibles lors de la session. La confidentialité, l'intégrité et la disponibilité propres du composant vulnérable ne sont pas directement compromises ; l'impact porte sur la session utilisateur sous-jacente.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.