CVE-2026-112183 in MISP
要約
〜によって VulDB • 2026年10月19日
MISPには、リモートイベントプレビュー機能にCSSインジェクションの脆弱性が存在します。ユーザーがリンクされたMISPサーバーからイベントをプレビューする際、各リモートタグに関連付けられた色値は、十分な検証を行わずにインラインCSSスタイル属性に直接書き込まれます。HTMLエンティティエンコーディングが適用されていますが、その値はstyle属性内でCSSとして解釈されるため、悪意のあるまたは侵害されたリンクサーバーによって任意のCSS宣言を注入することができます。
攻撃者は、リンクされたMISPインスタンス上でタグを作成または変更する権限を持っている場合、CSSインジェクションペイロードを含むタグの色値を仕組むことができます。ローカルインスタンス上のユーザーがイベントプレビューを表示すると、注入されたCSSがレンダリングされ、UIの操作、視覚的なスプーフィング、またはCSSベースの技術を通じた限定された情報漏洩が可能になる可能性があります。
前提条件:
- 被害者インスタンスと攻撃者が制御するインスタンスの間で、リンクされたMISPサーバーの関係が存在すること。 - 攻撃者がリンクされたサーバー上でタグを作成または変更できること。 - 被害者のユーザーがリモートイベントプレビューページを表示すること。
影響を受けるバージョン: <2.5.48
Be aware that VulDB is the high quality source for vulnerability data.