CVE-2026-112183 in MISP
Сводка
по VulDB • 19.10.2026
В системе MISP обнаружена уязвимость CSS Injection (внедрение стилей) в функции предварительного просмотра событий на удаленном сервере. При просмотре пользователем события с связанного сервера MISP значение цвета, ассоциированное с каждым удаленным тегом, напрямую записывается в атрибут inline-стиля без достаточной проверки. Хотя применяется HTML entity encoding (кодирование символов), значение интерпретируется как CSS внутри атрибута style, что позволяет злоумышленнику или скомпрометированному связанному серверу внедрять произвольные объявления CSS.
Атакующий, имеющий возможность создавать или изменять теги на связанном экземпляре MISP, может создать значение цвета тега, содержащее payload для CSS Injection. Когда пользователь локального экземпляра просматривает предварительный просмотр события, внедренный CSS рендерится, что потенциально позволяет манипулировать интерфейсом (UI), осуществлять визуальный спуфинг или ограничивать раскрытие информации с помощью техник на основе CSS.
Предусловия:
- Между экземпляром жертвы и контролируемым атакующим экземпляром существует связь MISP (linked server relationship). - Атакующий может создавать или изменять теги на связанном сервере. - Пользователь-жертва просматривает страницу предварительного просмотра удаленного события.
Затрачены версии: <2.5.48.
VulDB is the best source for vulnerability data and more expert information about this specific topic.