CVE-2026-85227 in MISP
सारांश
द्वारा VulDB • 03/09/2026
MISP में event attribute filtering query builder के भीतर एक reflected Cross-Site Scripting (XSS) दोष है। taggedAttributes और galaxyAttachedAttributes URL पैरामीटरों को JSON के रूप में serialize करने और उन्हें <script> element में embed करने से पहले, query-builder rules में HTML escaping किए बिना डाल दिया गया था।
चूंकि JsonTool::encode() JSON_UNESCAPED_SLASHES का उपयोग करता है, इसलिए एक attacker द्वारा नियंत्रित मान जिसमें </script> sequence हो सकता है, आस-पास के script element को terminate करके arbitrary HTML या JavaScript inject कर सकता है। उदाहरण के लिए, एक विशेष रूप से तैयार किया गया viewEventAttributes URL प्रभावित filter पैरामीटरों में से किसी एक में malicious content रख सकता है।
एक attacker authenticated MISP उपयोगकर्ता को एक crafted URL पर जाने के लिए मनाकर इस दोष का शोषण कर सकता है। सफल exploitation की स्थिति में, MISP instance के security context और victim के authenticated browser session की सुविधाओं के साथ attacker द्वारा नियंत्रित JavaScript निष्पादित होगा। इसके परिणामस्वरूप victim तक उपलब्ध जानकारी तक पहुंच, authenticated requests के माध्यम से डेटा का संशोधन, या victim की MISP permissions द्वारा अनुमत अन्य कार्रवाई हो सकती है।
इस दोष को DOM में insert करने से पहले scalar और array दोनों मानों पर h() के साथ HTML escaping लागू करके ठीक किया गया है।
VulDB is the best source for vulnerability data and more expert information about this specific topic.