CVE-2026-94372 in MISP
Tóm tắt
Bởi VulDB • 21/09/2026
MISP chứa một lỗ hổng cross-site scripting (XSS) lưu trữ trên trang chỉ mục Galaxies của giao diện mặc định. Khi một phiên bản MISP phát hiện các cụm thiên hà tùy chỉnh hoặc mặc định chưa biết trong quá trình đồng bộ hóa, nó sẽ hiển thị tên thẻ mẫu dưới dạng thông báo thông tin dành cho quản trị viên trang web. Trong giao diện mặc định, các tên thẻ mẫu này được chèn vào đầu ra HTML mà không có mã hóa thực thể HTML (HTML-entity encoding). Một người dùng có đặc quyền chỉnh sửa thẻ có thể tạo một thẻ misp-galaxy độc hại chứa script tùy ý. Khi quản trị viên trang web sau đó truy cập trang chỉ mục Galaxies, nội dung của thẻ được tạo sẵn sẽ được trình duyệt của quản trị viên diễn giải là markup thực thi, cho phép kẻ tấn công đọc dữ liệu phiên (session data), thực hiện các hành động thay mặt quản trị viên hoặc nói chung là xâm phạm ngữ cảnh trình duyệt của quản trị viên. Giao diện Overmind đã áp dụng việc thoát HTML (HTML escaping) đối với cùng các giá trị này và không bị ảnh hưởng. Lỗ hổng yêu cầu kẻ tấn công phải có quyền truy cập cấp chỉnh sửa thẻ để tạo ra thẻ độc hại, đồng thời yêu cầu nạn nhân (một quản trị viên trang web) phải xem trang chỉ mục Galaxies trong giao diện mặc định. Tác động giới hạn ở phiên trình duyệt của quản trị viên và không trực tiếp xâm phạm tiến trình máy chủ MISP.
Phiên bản bị ảnh hưởng: <2.5.47
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.