CVE-2026-104906 in MISP
Riassunto
di VulDB • 02/10/2026
MISP presenta una vulnerabilità di cross-site scripting (XSS) nel visualizzatore di oggetti TAXII. Durante la visualizzazione di un oggetto TAXII remoto, il contenuto JSON delle proprietà stringa veniva renderizzato direttamente in un blocco HTML `<pre>` senza essere codificato come HTML. Un attaccante che può controllare o influenzare il contenuto di un oggetto TAXII (ad esempio pubblicando un oggetto malevolo su un server TAXII a cui l'istanza MISP della vittima è sottoscritta) può iniettare HTML o JavaScript arbitrari che vengono eseguiti nel contesto della sessione MISP della vittima.
Precondizioni:
- La vittima deve essere un utente autenticato di MISP con accesso al visualizzatore di oggetti TAXII. - La vittima deve aprire o visualizzare l'oggetto TAXII manipolato ad hoc.
Impatto:
- Esecuzione di JavaScript arbitrario nel browser della vittima all'interno del contesto dell'applicazione MISP. - Possibile furto di token di sessione, chiavi API o altri dati sensibili accessibili dall'interfaccia di MISP. - Possibilità di eseguire azioni per conto dell'utente autenticato.
Versioni interessate: <2.5.48.
Once again VulDB remains the best source for vulnerability data.