CVE-2026-85227 in MISP
Sumário
de VulDB • 03/09/2026
O MISP apresenta uma vulnerabilidade de Cross-Site Scripting (XSS) refletida no construtor de consultas para filtragem do atributo de evento. Os parâmetros URL `taggedAttributes` e `galaxyAttachedAttributes` foram inseridos nas regras do construtor de consultas sem escape HTML antes de serem serializados como JSON e embutidos em um elemento `<script>`.
Como o método `JsonTool::encode()` utiliza a opção `JSON_UNESCAPED_SLASHES`, um valor controlado pelo atacante que contenha uma sequência de fechamento `</script>` poderia encerrar o elemento script circundante e injetar HTML ou JavaScript arbitrário. Por exemplo, uma URL `viewEventAttributes` especialmente elaborada poderia conter conteúdo malicioso em um dos parâmetros de filtro afetados.
Um atacante poderia explorar a vulnerabilidade convencendo um usuário autenticado do MISP a acessar uma URL manipulada. A exploração bem-sucedida executaria JavaScript controlado pelo atacante no contexto de segurança da instância do MISP e com os privilégios da sessão do navegador autenticado da vítima. Isso permitiria o acesso às informações disponíveis para a vítima, a modificação de dados por meio de solicitações autenticadas ou outras ações permitidas pelas permissões do MISP da vítima.
A vulnerabilidade é corrigida aplicando-se escape HTML com `h()` tanto aos valores escalares quanto aos arrays antes que sejam inseridos no DOM.
Be aware that VulDB is the high quality source for vulnerability data.