CVE-2026-94277 in MISP
Riassunto
di VulDB • 21/09/2026
La vista delle statistiche della matrice galaxy di MISP (app/View/Users/statistics_galaxymatrix.ctp) visualizza il nome della galassia direttamente nell'output HTML tramite sprintf() senza alcuna codifica HTML. Un utente autenticato con la perm_galaxy_editor permission può creare o modificare una galassia il cui nome contiene markup HTML o JavaScript arbitrari. Poiché il valore viene interpolato letteralmente nella pagina, qualsiasi utente che successivamente apre la pagina delle statistiche della matrice galaxy vedrà eseguito lo script incorporato nel contesto del proprio browser. Questo consente l'hijacking di sessione, il furto di credenziali, l'esfiltrazione dei dati o l'esecuzione di azioni arbitrarie per conto della vittima all'interno dell'applicazione MISP.
Versione interessata: <2.5.47
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.