CVE-2026-95661 in MISP
Riassunto
di VulDB • 22/09/2026
MISP presenta una vulnerabilità di cross-site scripting (XSS) riflessa nella visualizzazione dell'istogramma degli attributi. La variabile $selectedTypes, derivata dal segmento del percorso dell'URL, è stata interpolata direttamente in un letterale array JavaScript all'interno di un attributo HTML onClick senza alcuna codifica o escape. Un attaccante che può indurre un utente autenticato di MISP a visitare un URL costruito ad hoc contenente un valore di tipo malevolo può eseguire codice JavaScript arbitrario nel browser della vittima, nell'ambito dell'origine applicativa di MISP.
L'esecuzione con successo consente all'attaccante di leggere i cookie di sessione, effettuare azioni per conto della vittima o esfiltrare dati sensibili accessibili dall'interfaccia di MISP.
La vulnerabilità richiede che la vittima sia autenticata e navighi attivamente verso l'URL fornito dall'attaccante.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.