CVE-2026-85230 in MISP
요약
\~에 의해 VulDB • 2026. 09. 03.
MISP 대시보드 ButtonWidget 구성에 영구적인 비안전한 URL 주입 취약점이 존재합니다. 대시보드 위젯의 URL은 위젯이 렌더링될 때만 유효성 검사가 수행되었으며, 설정 저장 시에는 검증되지 않았습니다. 그 결과, 대시보드 위젯 설정을 수정할 수 있는 인증된 사용자는 대시보드 설정 영구화 경로 중 하나를 통해 `javascript:` 스키마를 사용하는 URL을 포함한 임의의 URL 값을 영구적으로 저장할 수 있습니다.
대시보드 버튼에 저장된 악성 `javascript:` URL은 기존 런타임 유효성 검사 없이 렌더링 또는 탐색 경로로 전달될 경우, MISP 보안 컨텍스트 내에서 클라이언트 측 스크립트 실행을 초래할 가능성이 있습니다. 이러한 실행으로 인해 공격자는 해당 사용자의 권한으로 작업을 수행하거나 해당 MISP 세션에서 접근 가능한 정보에 액세스할 수 있게 됩니다.
이 이슈의 실제 악용 가능성은 MISP가 이미 렌더링 시점 URL 유효성 검사를 적용하여 알려진 악성 값들이 사용자 앞에 표시되기 전에 무력화시켰다는 사실로 인해 감소합니다. 따라서 이 취약점은 기존 렌더링 보호 기능의 직접적인 우회를 의미하기보다는 영구화 계층에서의 검증 격차와 방어 심화의 약점을 나타냅니다.
패치는 정형화된 URL 스키마 타입을 도입하고, 설정 저장 메커니즘 중 하나를 통해 데이터가 영구화되기 전에 대시보드 위젯 구성에 대한 유효성 검사를 수행합니다. 이제 ButtonWidget의 URL은 현재 MISP 인스턴스의 절대 경로로 해석되는 문자열이거나 동일한 출처(Full Origin)를 가진 전체 URL이어야 합니다. `javascript:`, 외부 출처, 잘못된 형식의 URL 및 비문자열 값은 저장 시점에 거부됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.