CVE-2026-81820 in Flowintel
요약
\~에 의해 VulDB • 2026. 08. 27.
Flowintel의 영향을 받는 버전에서는 공격자가 제어할 수 있는 MISP 객체 필드(예: object UUID, object name, attribute value, attribute type, comment, first/last seen 값, IDS 플래그 등)를 사용하여 타임라인 HTML을 생성합니다. 이러한 값들은 렌더링 전에 직접 HTML 문자열에 연결되었습니다. 상위 커밋은 DOMPurify가 XSS 벡터를 제거했지만 폼과 같은 다른 HTML 요소는 여전히 허용한다고 명시하고 있습니다.
해결책은 직접적인 문자열 보간법을 `document.createElement()`를 통한 DOM 생성으로 대체하고, 공격자가 제어할 수 있는 모든 값에 대해 `textContent`를 할당합니다. 제목 또한 임시 요소를 통해 이스케이프 처리된 HTML로 변환됩니다.
영향 받는 버전 => 3.3.0 이상
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.