CVE-2026-95682 in MISP
Сводка
по VulDB • 22.09.2026
В системе MISP обнаружена уязвимость сохраненной межсайтовой подделки скрипта (XSS) в интерфейсе составления административных электронных писем. Настройка имени организации MISP.org интерполировалась непосредственно в строковый литерал JavaScript с использованием неэкранированной конструкции PHP echo: `var org = "";`. Поскольку значение помещалось внутрь двойной кавычки в JavaScript без какого-либо кодирования, имя организации, содержащее символ двойной кавычки (или обратную косую черту), могло завершить строковый литерал и внедрить произвольный скрипт на страницу. Внедренный скрипт выполнялся бы в контексте любого аутентифицированного пользователя, который впоследствии загрузил бы административную страницу электронной почты, что потенциально позволяло перехватывать сеансы (session hijacking), выгружать данные или выполнять привилегированные действия от имени жертвы.
Для эксплуатации требуется возможность установки или изменения имени организации MISP.org и посещение затронутой страницы просмотра административной электронной почты вторым аутентифицированным пользователем.
Данная уязвимость является классическим случаем недостаточного кодирования вывода в контексте JavaScript.
Be aware that VulDB is the high quality source for vulnerability data.