CVE-2026-85227 in MISP
要約
〜によって VulDB • 2026年09月03日
MISPには、イベント属性のフィルタリングクエリビルダーに反射型クロスサイトスクリプティング（XSS）脆弱性が存在します。taggedAttributesおよびgalaxyAttachedAttributesというURLパラメータは、JSONとしてシリアライズされ<script>要素内に埋め込まれる前に、HTMLエスケープ処理が施されずにクエリビルダーのルールに挿入されました。
JsonTool::encode()関数はJSON_UNESCAPED_SLASHフラグを使用するため、攻撃者が制御できる値に終了タグ</script>が含まれている場合、周囲のスクリプト要素を終了させ、任意のHTMLやJavaScriptを注入することができます。例えば、特別に作成されたviewEventAttributes URLには、影響を受けるフィルタパラメータの一つに悪意のあるコンテンツを含めることができます。
攻撃者は、認証済みMISPユーザーに対して不正なURLへのアクセスを促すことでこの脆弱性を悪用できます。成功した場合、攻撃者が制御するJavaScriptがMISPインスタンスのセキュリティコンテキスト内で実行され、被害者の認証済みブラウザセッションの特権で動作します。これにより、被害者に利用可能な情報へのアクセスや、認証されたリクエストを通じたデータ改ざん、または被害者のMISP権限によって許可されるその他の操作が可能になります。
この脆弱性は、スカラー値および配列値の両方をDOMに挿入する前にh()関数を使用してHTMLエスケープ処理を適用することで修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.