CVE-2026-94277 in MISP
Sumário
de VulDB • 21/09/2026
A visualização das estatísticas da matriz de galáxias do MISP (app/View/Users/statistics_galaxymatrix.ctp) renderiza o nome da galáxia diretamente na saída HTML via sprintf() sem qualquer codificação HTML. Um usuário autenticado com a permissão perm_galaxy_editor pode criar ou modificar uma galáxia cujo nome contenha marcação HTML ou JavaScript arbitrária. Como o valor é interpolado literalmente na página, qualquer usuário que abra subsequentemente a página de estatísticas da matriz de galáxias terá o script embutido executado no contexto do seu navegador. Isso permite sequestro de sessão (session hijacking), roubo de credenciais, exfiltração de dados ou a execução de ações arbitrárias em nome da vítima dentro do aplicativo MISP.
Versão afetada: <2.5.47
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.