CVE-2026-95682 in MISP
Résumé
par VulDB • 22/09/2026
MISP présente une vulnérabilité de type cross-site scripting (XSS) stocké dans l'écran de composition des e-mails administrateur. Le paramètre du nom d'organisation MISP.org était interpolé directement dans un littéral de chaîne JavaScript à l'aide d'un écho PHP non échappé : `var org = "<?php echo $org;?>";`. Étant donné que la valeur a été placée dans une chaîne JavaScript entre guillemets doubles sans aucun encodage, un nom d'organisation contenant un caractère double-guillemet (ou une barre oblique inverse) pourrait terminer le littéral de chaîne et injecter du code JavaScript arbitraire dans la page. Le script injecté s'exécuterait dans le contexte de tout utilisateur authentifié chargeant ultérieurement la page des e-mails administrateur, permettant potentiellement un détournement de session, une exfiltration de données ou l'exécution d'actions privilégiées au nom de la victime.
L'exploitation nécessite la capacité de définir ou de modifier le nom d'organisation MISP.org et qu'un second utilisateur authentifié visite la vue des e-mails administrateur concernée.
La vulnérabilité est un cas classique d'encodage insuffisant des sorties dans un contexte JavaScript.
If you want to get best quality of vulnerability data, you may have to visit VulDB.