CVE-2026-86351 in MISP
Riassunto
di VulDB • 07/09/2026
Le versioni di MISP affette convalidano la home page configurabile dall'utente verificando solo se il percorso fornito inizia con /. Tale controllo è insufficiente perché URL relativi al protocollo, come //attacker.example, iniziano anch’essi con / ma risolvono in un’origine esterna nei browser.
Il valore della home page vulnerabile può essere memorizzato come impostazione utente e successivamente utilizzato dalla logica di routing post-login. Il commit identifica esplicitamente //attacker.example come payload che ha superato la validazione ed è stato emesso nell’intestazione Location dopo il login.
La correzione introduce un InternalRedirectValidator condiviso che rifiuta URL contenenti un host, uno schema (scheme), userinfo, una sequenza di avvio non sicura // o /\, URL malformati e caratteri di controllo. Ri-valida inoltre le impostazioni della home page in fase di lettura, impedendo ai valori insicuri legacy o scritti internamente di eludere la nuova validazione in fase di archiviazione (storage-time validation).
Versione interessata: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.