CVE-2026-95659 in MISP
Sumário
de VulDB • 22/09/2026
O MISP contém uma vulnerabilidade de cross-site scripting (XSS) refletido na ação `AnalystDataController::viewForObject`. O método aceitava um parâmetro do tipo de objeto pai a partir da URL sem validação e o passava para o elemento de visualização do thread AnalystData com tema Overmind, onde ele era interpolado em duas strings traduzidas e renderizado na resposta HTML sem codificação de saída. Um atacante autenticado que possa induzir uma vítima a navegar até uma URL manipulada pode injetar JavaScript arbitrário que é executado no navegador da vítima dentro do contexto da aplicação MISP. Isso pode permitir ao atacante ler dados de sessão, manipular a página ou executar ações em nome da vítima.
A vulnerabilidade requer que a vítima esteja autenticada no MISP e visite ativamente a URL fornecida pelo atacante. O componente afetado é o controlador AnalystData e o elemento do thread AnalystData do tema Overmind.
Versão afetada: <2.5.47
Be aware that VulDB is the high quality source for vulnerability data.