CVE-2026-85227 in MISP
Сводка
по VulDB • 03.09.2026
В системе MISP обнаружена уязвимость отраженного межсайтового скриптинга (XSS) в конструкторе запросов для фильтрации атрибутов событий. Параметры URL taggedAttributes и galaxyAttachedAttributes вставлялись в правила конструктора запросов без HTML-экранирования перед сериализацией в формат JSON и внедрением внутрь элемента <script>.
Поскольку метод JsonTool::encode() использует флаг JSON_UNESCAPED_SLASHES, значение, контролируемое злоумышленником и содержащее закрывающую последовательность </script>, может завершить окружающий элемент script и позволить внедрить произвольный HTML или JavaScript. Например, специально сформированный URL для viewEventAttributes мог бы содержать вредоносный контент в одном из затронутых параметров фильтрации.
Злоумышленник может эксплуатировать уязвимость, убедив аутентифицированного пользователя MISP перейти по специально созданному URL. Успешная эксплуатация приведет к выполнению JavaScript-кода под управлением злоумышленника в контексте безопасности экземпляра MISP и с привилегиями аутентифицированной браузерной сессии жертвы. Это может позволить получить доступ к информации, доступной жертве, изменить данные через аутентифицированные запросы или выполнить другие действия, разрешенные правами доступа жертвы в MISP.
Уязвимость устранена путем применения HTML-экранирования с использованием функции h() как для скалярных значений, так и для массивов перед их вставкой в DOM.
Be aware that VulDB is the high quality source for vulnerability data.