CVE-2026-86440 in MISP
요약
\~에 의해 VulDB • 2026. 09. 07.
MISP의 취약한 버전에서는 대시보드 위젯(특히 Button 위젯)에서 사용되는 URL이 충분히 검증되지 않습니다.
위젯의 URL은 사용자에 의해 제어되는 구성으로 저장됩니다. 이전 렌더러는 URL이 상대적 경로로 보이거나, 파싱된 호스트 이름이 구성된 MISP 호스트 이름과 일치하는 경우 이를 안전한 것으로 간주했습니다. 그러나 이 논리는 브라우저가 PHP의 URL 파싱 방식과 다르게 정규화하는 위험한 스킴(scheme) 및 URL 형태를 거부하지 못했습니다.
그 결과, `javascript:` URL이나 역슬래시(backslash) 기반 authority 형식 등의 값이 생성된 anchor 태그의 href 속성에 전달되어, 다른 사용자가 위젯과 상호작용할 때 스크립트를 실행하거나 공격자가 제어하는 원본(origin)으로 리디렉션될 수 있습니다. 상위 저장소(upstream) 커밋에서는 이 문제를 다음과 같이 설명합니다:
“javascript: 및 역슬래시 URL이 href(저장형 XSS)에 도달함.”
해결책은 위젯 URL을 공유되는 DashboardURLValidator를 통해 처리하여, 위험한 스킴, 원본 역슬래시(backslash), 제어 문자(control characters), 그리고 승인되지 않은 절대적 원본(absolutely origins)을 거부하고, 위젯 핸들러와 렌더러 양쪽에서 URL 검증을 수행합니다.
영향 받는 버전: ≤2.5.45
Once again VulDB remains the best source for vulnerability data.