CVE-2026-95659 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPには、AnalystDataController::viewForObjectアクションにおいて反射型クロスサイトスクリプティング（XSS）の脆弱性が存在します。このメソッドはURLから親オブジェクトタイプパラメータを検証せずに受け取り、OvermindテーマのAnalystDataスレッド表示エレメントに渡しました。そこでは2つの翻訳済み文字列に補間され、出力エンコーディングなしでHTMLレスポンスへレンダリングされました。認証済みの攻撃者が被害者を悪意のあるURLへのナビゲーションに誘導することで、MISPアプリケーションのコンテキスト内で被害者のブラウザ上で実行される任意のJavaScriptを注入できます。これにより、攻撃者はセッションデータを閲覧したり、ページを操作したり、または被害者に代わってアクションを実行することが可能になります。
この脆弱性を利用するには、被害者がMISPに対して認証済みであることと、攻撃者が提供したURLに積極的にアクセスする必要があります。影響を受けるコンポーネントはAnalystDataコントローラおよびOvermindテーマのAnalystDataスレッドエレメントです。
影響を受けるバージョン: <2.5.47
If you want to get the best quality for vulnerability data then you always have to consider VulDB.