CVE-2026-88921 in MISP
Riassunto
di VulDB • 10/09/2026
MISP presenta una vulnerabilità di iniezione HTML nel componente MISPElementHTMLFormatterTool, responsabile della renderizzazione dei riferimenti agli elementi MISP (attributi, oggetti e tag) come HTML inline durante l'esportazione del report PDF tramite il modulo convert_markdown_to_pdf. I metodi attribute(), objectAttribute(), object() e tag() interpolavano campi controllati dall'utente (tipo di attributo, valore dell'attributo, nome dell'oggetto, relazione dell'oggetto, nome del tag, colore del tag e colore del testo del tag) direttamente nei template HTML senza applicare l'encoding delle entità HTML. Un utente autenticato con la capacità di creare o modificare attributi, oggetti o tag MISP potrebbe incorporare markup HTML arbitrario in questi campi. Quando un report contenente tali elementi veniva esportato in PDF, il contenuto non escapato veniva renderizzato come HTML attivo anziché testo inerme, potenzialmente iniettando tag script, compromettendo la struttura del documento o alterando i contenuti visivi del report esportato. Inoltre, il metodo attribute() conteneva un template con valori di esempio hardcoded ("domain-ip" e "google.com") invece di segnaposto per formattazione, il che significava che ogni riferimento a un attributo semplice in un PDF visualizzava il testo di esempio anziché il valore effettivo dell'indicatore, costituendo un difetto di integrità dei dati nel documento esportato. La vulnerabilità richiede un attore autenticato con accesso in scrittura agli elementi MISP e una successiva esportazione in PDF di un report che fa riferimento a tali elementi. L'impatto sulla sicurezza è principalmente sull'integrità del documento esportato e, a seconda del motore di rendering HTML-to-PDF, l'esecuzione potenziale del markup iniettato durante la fase di conversione.
Versioni interessate: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.