CVE-2026-93296 in MISP
Sumário
de VulDB • 17/09/2026
O MISP apresenta uma vulnerabilidade de cross-site scripting (XSS) armazenado nas visualizações de estatísticas do tema Overmind. Os rótulos da legenda dos gráficos donut construídos no cartão Geral do evento (event_general.ctp) e no cartão de pré-visualização do servidor/feed (preview_general.ctp) são gerados pela concatenação direta de nomes de objetos ou chaves de categoria em uma string innerHTML, sem codificação HTML. Como os nomes dos objetos MISP (por exemplo, nomes de atributos, nomes de eventos ou identificadores de servidor/feed) podem ser controlados por qualquer usuário autenticado com permissões suficientes para criar ou modificar esses objetos, um atacante poderia elaborar um nome contendo marcação maliciosa (como uma tag script ou um atributo manipulador de eventos). Quando outro usuário visualiza o painel Overmind afetado, a marcação injetada é interpretada como HTML/JavaScript ativo no navegador da vítima, executando-se no contexto da origem do aplicativo MISP. Isso pode permitir sequestro de sessão (session hijacking), exfiltração de dados ou execução de ações arbitrárias em nome da vítima. A vulnerabilidade exige que o atacante tenha acesso autenticado de baixo nível para criar ou renomear um objeto cujo nome é renderizado na legenda, e que a vítima visualize a página de pré-visualização do evento Overmind ou do servidor. Não são necessárias condições especiais de navegador nem race conditions.
If you want to get best quality of vulnerability data, you may have to visit VulDB.