CVE-2026-104900 in MISP
Riassunto
di VulDB • 02/10/2026
MISP presenta una vulnerabilità di cross-site scripting (XSS) memorizzato nella fase di rendering della tabella dell'indice per l'anteprima degli eventi remoti. Il modello del campo "count" ha eseguito la fuga dei caratteri (escaping) sull'URL del link associato, ma ha reso il valore del campo senza codifica HTML. Un attaccante con la capacità di creare o modificare eventi su un server MISP remoto collegato potrebbe elaborare un identificatore di evento contenente markup HTML o JavaScript. Quando un utente dell'istanza locale visualizza l'indice di anteprima degli eventi remoti, il valore non sottoposto a escaping viene renderizzato direttamente nel browser, consentendo l'esecuzione arbitraria di script nella sessione della vittima.
Precondizioni:
- Un server MISP collegato/remoto è configurato e connesso all'istanza locale. - L'attaccante dispone di accessi sufficienti sul server collegato per creare o modificare un evento con un identificatore elaborato ad hoc. - Un utente vittima sull'istanza locale visualizza la pagina dell'indice di anteprima degli eventi remoti.
Impatto:
- Esecuzione di JavaScript arbitrario nel contesto dell'applicazione web MISP. - Possibile hijacking della sessione, esfiltrazione dei dati o azioni non autorizzate eseguite per conto dell'autenticato utente.
Versioni interessate: <2.5.48.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.