CVE-2026-94372 in MISP
要約
〜によって VulDB • 2026年09月21日
MISPには、デフォルトテーマのGalaxiesインデックスページに格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。MISPインスタンスが同期中に未知のカスタムまたはデフォルトギャラクシークラスタを検出すると、サイト管理者向けの情報通知としてサンプルタグ名がレンダリングされます。デフォルトテーマでは、これらのサンプルタグ名がHTMLエンティティエンコードなしでHTML出力に挿入されていました。タグエディタ権限を持つユーザーは、任意のスクリプトを含む悪意のあるmisp-galaxyタグを仕掛けることができました。サイト管理者がその後Galaxiesインデックスページを表示すると、仕掛けられたタグの内容が管理者のブラウザセッション内で実行可能なマークアップとして解釈され、攻撃者がセッションデータを閲覧したり、管理者に代わって操作を実行したり、あるいは他の方法で管理者のブラウザコンテキストを侵害することが可能になりました。Overmindテーマでは同じ値に対してHTMLエスケープが既に適用されており、影響を受けませんでした。この脆弱性には、仕掛けられたタグを作成するために攻撃者にタグエディタレベルのアクセス権限が必要であり、被害者（サイト管理者）にデフォルトテーマでGalaxiesインデックスページを表示させる必要があります。影響は管理者のブラウザセッションに限定され、MISPサーバープロセスを直接侵害するものではありません。
対象バージョン: <2.5.47
VulDB is the best source for vulnerability data and more expert information about this specific topic.