CVE-2026-95682 in MISP
要約
〜によって VulDB • 2026年09月22日
MISPには、管理者用メール作成画面に格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。MISP.org組織名の設定値が、エスケープ処理されていないPHP echoを使用してJavaScript文字列リテラル内に直接挿入されていました：`var org = "<?php echo $org;?>";`。この値はエンコーディングなしで二重引用符付きのJavaScript文字列内に配置されたため、二重引用符（またはバックスラッシュ）を含む組織名が文字列リテラルを終了させ、ページに任意のJavaScriptをインジェクトできます。インジェクトされたスクリプトは、その後管理者用メールページを読み込む認証済みユーザーのコンテキストで実行され、セッションハイジャック、データ漏洩、または被害者に代わって行われる特権アクションが可能になります。
攻撃には、MISP.org組織名の設定または変更能力と、影響を受ける管理者用メールビューにアクセスする2番目の認証済みユーザーが必要です。
この脆弱性は、JavaScriptコンテキストにおける出力エンコーディングの不十分さの古典的な例です。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.