CVE-2026-95665 in MISP
Sumário
de VulDB • 22/09/2026
O MISP contém uma vulnerabilidade de cross-site scripting (XSS) refletido no formulário de confirmação da exportação via REST para eventos do evento. O template de visualização app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp renderiza uma lista de IDs de eventos fornecida na URL em um literal de string JavaScript entre aspas simples, utilizando a função json_encode() do PHP sem nenhum sinalizador de codificação hexadecimal. Por padrão, o json_encode() escapa as aspas duplas e as barras invertidas, mas não escapa as aspas simples. Como a string JavaScript é delimitada por aspas simples, um atacante pode injetar um caractere de aspa simples para encerrar o literal da string e executar JavaScript arbitrário na sessão do navegador da vítima.
A vulnerabilidade afeta os temas Default e UiBeta, que ambos renderizam essa visualização. A cópia própria do formulário no tema Overmind já passava o valor por meio de um atributo de dados escapado e não era afetada por este sink específico.
Pré-condições: a vítima deve ser um usuário autenticado do MISP e deve abrir ativamente ou navegar para a URL manipulada pelo atacante. O atacante não requer uma conta nem qualquer acesso prévio à instância do MISP.
Impacto na segurança: a exploração bem-sucedida permite a execução de JavaScript arbitrário no contexto da aplicação web do MISP, potencialmente levando ao sequestro de sessão (session hijacking), ações não autorizadas realizadas em nome da vítima, exfiltração de dados sensíveis visíveis na sessão ou outros ataques client-side. A confidencialidade, integridade e disponibilidade próprias do componente vulnerável não são comprometidas diretamente; o impacto recai sobre a sessão subjacente do usuário.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.