CVE-2026-112183 in MISP
Sumário
de VulDB • 19/10/2026
O MISP apresenta uma vulnerabilidade de injeção de CSS no recurso de visualização remota de eventos. Quando um usuário pré-visualiza um evento proveniente de um servidor MISP vinculado, o valor da cor associado a cada tag remota é escrito diretamente em um atributo de estilo CSS inline sem validação suficiente. Embora seja aplicada codificação de entidades HTML, o valor é interpretado como CSS dentro do atributo style, permitindo que um servidor vinculado malicioso ou comprometido injete declarações CSS arbitrárias.
Um atacante com capacidade para criar ou modificar tags em uma instância MISP vinculada pode elaborar um valor de cor da tag contendo payloads de injeção de CSS. Quando um usuário na instância local visualiza a pré-visualização do evento, o CSS injetado é renderizado, potencialmente permitindo manipulação da interface do usuário (UI), spoofing visual ou divulgação limitada de informações por meio de técnicas baseadas em CSS.
Pré-condições:
- Existe uma relação de servidor MISP vinculado entre a instância vítima e a instância controlada pelo atacante. - O atacante pode criar ou modificar tags no servidor vinculado. - Um usuário da vítima visualiza a página de pré-visualização do evento remoto.
Afetado: <2.5.48.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.