CVE-2026-85227 in MISP
Riassunto
di VulDB • 03/09/2026
MISP presenta una vulnerabilità di Cross-Site Scripting (XSS) riflessa nel query builder per il filtraggio degli attributi dell'evento. I parametri URL taggedAttributes e galaxyAttachedAttributes sono stati inseriti nelle regole del query builder senza un'escape HTML prima di essere serializzati come JSON ed incorporati all'interno di un elemento `<script>`.
Poiché JsonTool::encode() utilizza JSON_UNESCAPED_SLASHES, un valore controllato dall'attaccante contenente la sequenza `</script>` potrebbe terminare l'elemento script circostante e iniettare HTML o JavaScript arbitrari. Ad esempio, una viewEventAttributes appositamente manipolata potrebbe contenere contenuti dannosi in uno dei parametri di filtro interessati.
Un attaccante potrebbe sfruttare la vulnerabilità convincendo un utente autenticato di MISP a seguire un URL costruito ad hoc. Un'esecuzione riuscita permetterebbe l'esecuzione di JavaScript controllato dall'attaccante nel contesto di sicurezza dell'istanza MISP e con i privilegi della sessione del browser autenticata della vittima. Ciò potrebbe consentire l'accesso alle informazioni disponibili per la vittima, la modifica dei dati tramite richieste autenticate o altre azioni consentite dalle autorizzazioni MISP della vittima.
La vulnerabilità è risolta applicando un'escape HTML (con h()) sia ai valori scalari che a quelli array prima dell'inserimento nel DOM.
If you want to get best quality of vulnerability data, you may have to visit VulDB.