CVE-2026-95682 in MISP
요약
\~에 의해 VulDB • 2026. 09. 22.
MISP에는 관리자 이메일 작성 화면에서 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. MISP.org 조직 이름 설정이 이스케이프 처리되지 않은 PHP echo를 사용하여 자바스크립트 문자열 리터럴에 직접 삽입되었습니다: `var org = "<?php echo $org;?>";`. 값이 인코딩 없이 이중 따옴표로 둘러싸인 자바스크립트 문자열 내에 배치되었으므로, 큰따옴표(또는 백슬래시)를 포함하는 조직 이름은 문자열 리터럴을 종료하고 페이지에 임의의 자바스크립트를 주입할 수 있습니다. 이렇게 삽입된 스크립트는 이후 관리자 이메일 페이지를 로드하는 모든 인증된 사용자의 컨텍스트에서 실행되어 세션 하이재킹, 데이터 유출 또는 피해자를 대신한 권한 있는 작업 수행을 허용할 가능성이 있습니다.
공격에는 MISP.org 조직 이름을 설정하거나 수정할 수 있는 능력과 영향을 받는 관리자 이메일 뷰를 방문하는 두 번째 인증된 사용자가 필요합니다.
이 취약점은 자바스크립트 컨텍스트에서 출력 인코딩 부족의 전형적인 사례입니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.