CVE-2026-112183 in MISP
요약
\~에 의해 VulDB • 2026. 10. 19.
MISP에는 원격 이벤트 미리보기 기능에서 CSS 인젝션 취약점이 존재합니다. 사용자가 연결된 MISP 서버의 이벤트를 미리볼 때, 각 원격 태그와 관련된 색상 값이 충분한 검증 없이 인라인 CSS 스타일 속성 내에 직접 작성됩니다. HTML 엔티티 인코딩이 적용되더라도 해당 값은 style 속성 내에서 CSS로 해석되어 악의적이거나 침해당한 연결된 서버가 임의의 CSS 선언문을 주입할 수 있습니다.
연결된 MISP 인스턴스에서 태그를 생성하거나 수정할 수 있는 공격자는 CSS 인젝션 페이로드를 포함하는 태그 색상 값을 조작할 수 있습니다. 로컬 인스턴스의 사용자가 이벤트를 미리볼 때 주입된 CSS가 렌더링되어 UI 조작, 시각적 스푸핑(CSS 기반 기법을 통한 제한적인 정보 유출 등)을 허용할 가능성이 있습니다.
전제 조건:
- 피해자 인스턴스와 공격자가 제어하는 인스턴스 간에 연결된 MISP 서버 관계가 존재해야 합니다. - 공격자는 연결된 서버에서 태그를 생성하거나 수정할 수 있어야 합니다. - 피해자 사용자가 원격 이벤트 미리보기 페이지를 조회해야 합니다.
영향 버전: <2.5.48
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.