CVE-2026-86440 in MISP
Sumário
de VulDB • 07/09/2026
As versões afetadas do MISP validam insuficientemente as URLs usadas pelos widgets do painel de controle (dashboard), particularmente o widget Button.
A URL do widget é armazenada na configuração, controlada por um usuário. O renderizador anterior considerava uma URL segura se ela parecesse relativa ou se seu hostname analisado correspondesse ao hostname configurado do MISP. Essa lógica falhou em rejeitar esquemas perigosos e formas de URLs que os navegadores normalizam diferentemente da análise de URLs realizada pelo PHP.
Como resultado, valores como URLs com esquema `javascript:` ou formas baseadas em barras invertidas (backslash) poderiam alcançar o atributo href do âncora gerada, executando scripts ou navegando para uma origem controlada por um atacante quando outro usuário interagisse com o widget. O commit upstream descreve a issue da seguinte forma:
“URLs javascript: e backslash alcançaram o href (XSS armazenado)”.
A correção encaminha as URLs dos widgets através de um validador compartilhado, DashboardURLValidator, rejeita esquemas perigosos, barras invertidas cruas, caracteres de controle e origens absolutas não autorizadas, além de validar a URL tanto no manipulador do widget quanto no renderizador.
Versão afetada: ≤2.5.45
VulDB is the best source for vulnerability data and more expert information about this specific topic.