CVE-2026-93296 in MISP
要約
〜によって VulDB • 2026年09月17日
MISPには、Overmindテーマの統計ビューにおいて、保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。イベント一般カード（event_general.ctp）およびサーバー/フィードプレビューカード（preview_general.ctp）は、ドーナツチャートの凡例ラベルを構築する際に、オブジェクト名やカテゴリキーをHTMLエンコードせずに直接innerHTML文字列に連結しています。MISPのオブジェクト名（例えば属性名、イベント名、またはサーバー/フィード識別子）は、そのようなオブジェクトを作成または変更するための十分な権限を持つ認証済みユーザーであれば誰でも制御可能であるため、攻撃者は悪意のあるマークアップ（スクリプトタグやイベントハンドラ属性などを含む）を名前として仕掛けることができます。他のユーザーが影響を受けたOvermindダッシュボードを表示すると、注入されたマークアップは被害者のブラウザ内で生きたHTML/JavaScriptとして解釈され、MISPアプリケーションのオリジンコンテキストで実行されます。これにより、セッションハイジャック、データ漏洩、または被害者に代わって任意のアクションを実行することが可能になります。この脆弱性を利用するには、攻撃者は凡例に表示されるオブジェクトを作成またはリネームするための低レベルの認証済みアクセス権限を有し、かつ被害者がOvermindのイベントまたはサーバープレビューページを表示する必要があります。特別なブラウザ条件やrace conditionは必要ありません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.