CVE-2026-95682 in MISP
Sumário
de VulDB • 22/09/2026
O MISP contém uma vulnerabilidade de cross-site scripting (XSS) armazenado na tela de composição de e-mails administrativos. A configuração do nome da organização "MISP.org" era interpolada diretamente em um literal de string JavaScript usando um eco PHP não escapado: `var org = "<?php echo $org;?>";`. Como o valor foi inserido dentro de uma string JavaScript entre aspas duplas sem qualquer codificação, um nome de organização contendo um caractere de aspa dupla (ou uma barra invertida) poderia encerrar o literal da string e injetar código JavaScript arbitrário na página. O script injetado seria executado no contexto de qualquer usuário autenticado que carregasse posteriormente a página de e-mail administrativo, potencialmente permitindo sequestro de sessão, exfiltração de dados ou ações privilegiadas realizadas em nome da vítima.
A exploração requer a capacidade de definir ou modificar o nome da organização MISP.org e a visita de um segundo usuário autenticado à visualização do e-mail administrativo afetada.
A vulnerabilidade é uma instância clássica de codificação insuficiente de saída em um contexto JavaScript.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.