CVE-2026-95665 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPには、イベントREST検索エクスポート確認フォームに反射型クロスサイトスクリプティング（XSS）の脆弱性が存在します。`app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp`というビューテンプレートは、PHPの `json_encode()` 関数を使用してURLから提供されたイベントIDリストをシングルクォートで囲まれたJavaScript文字列リテラルにレンダリングしますが、16進エンコーディングフラグは一切使用されません。デフォルトでは、`json_encode()` は二重引用符とバックスラッシュはエスケープしますが、シングルクォートはエスケープしません。JavaScriptの文字列がシングルクォートで区切られているため、攻撃者はシングルクォートを注入して文字列リテラルを終了させ、被害者のブラウザセッション内で任意のJavaScriptを実行することができます。
この脆弱性は、このビューをレンダリングするデフォルトテーマとUiBetaテーマに影響します。Overmindテーマには独自のフォームコピーがあり、既に値をエスケープされたデータ属性を通じて渡していたため、この特定のシンク（sink）の影響を受けませんでした。
前提条件：被害者は認証済みMISPユーザーであり、攻撃者が作成したURLに積極的にアクセスまたはナビゲートする必要があります。攻撃者にはアカウントやMISPインスタンスへの事前アクセスは必要ありません。
セキュリティ上の影響：成功した悪用により、MISP Webアプリケーションのコンテキスト内で任意のJavaScriptが実行され、セッションハイジャック、被害者に代わって行われる不正な操作、セッション内に表示される機密データの漏洩、またはさらなるクライアントサイド攻撃につながる可能性があります。脆弱なコンポーネント自体の機密性、完全性、および可用性は直接侵害されず、影響は基盤となるユーザーセッションに及びます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.