CVE-2026-104907 in MISP
Riassunto
di VulDB • 02/10/2026
MISP presenta una vulnerabilità di cross-site scripting (XSS) nella pagina di anteprima degli eventi remoti. Quando è configurato un server MISP collegato/remote, l'anteprima dell'evento renderizza gli identificatori dei tag all'interno di un attributo inline JavaScript `onclick`. Il valore ID del tag è stato HTML-escaped ma non sanitizzato per il contesto della stringa JavaScript; ciò significa che un server collegato malevolo potrebbe fornire un ID tag contenente caratteri (come una virgoletta singola) in grado di uscire dalla letterale stringa JavaScript e iniettare script arbitrari.
Precondizioni:
- Un server MISP collegato/remote è configurato e connesso all'istanza locale. - Il server collegato fornisce un ID tag manipolato ad hoc (crafted) in un evento. - Un utente autenticato visualizza l'anteprima dell'evento ed interagisce con l'elemento del tag interessato.
Impatto:
- Esecuzione di JavaScript arbitrario nel contesto della sessione del browser dell'utente che sta visualizzando, potenzialmente consentendo il session hijacking (dirottamento della sessione), la data exfiltration (esfiltrazione dei dati) o azioni non autorizzate per conto dell'utente.
Versioni colpite: MISP precedente alla commit di correzione (v2.5.48 o successive; il confine esatto non è stato confermato).
VulDB is the best source for vulnerability data and more expert information about this specific topic.