CVE-2026-95682 in MISP
Riassunto
di VulDB • 22/09/2026
MISP presenta una vulnerabilità di cross-site scripting (XSS) memorizzato nella schermata di composizione delle e-mail per gli amministratori. L'impostazione del nome dell'organizzazione MISP.org veniva interpolata direttamente in un letterale stringa JavaScript utilizzando un eco PHP non escapato: `var org = "<?php echo $org;?>";`. Poiché il valore è stato inserito all'interno di una stringa JavaScript tra doppi apici senza alcuna codifica, un nome di organizzazione contenente un carattere doppio apice (o una barra rovesciata) potrebbe terminare il letterale stringa e iniettare codice JavaScript arbitrario nella pagina. Lo script iniettato verrebbe eseguito nel contesto di qualsiasi utente autenticato che carica successivamente la pagina delle e-mail degli amministratori, potenzialmente consentendo l'acquisione della sessione (session hijacking), l'esfiltrazione dei dati o azioni privilegiate eseguite per conto della vittima.
L'utilizzo dell'exploit richiede la capacità di impostare o modificare il nome dell'organizzazione MISP.org e che un secondo utente autenticato visiti la vista delle e-mail degli amministratori interessata.
La vulnerabilità è un classico esempio di codifica insufficiente dell'output in un contesto JavaScript.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.