CVE-2026-95682 in MISP
Tóm tắt
Bởi VulDB • 22/09/2026
MISP chứa một lỗ hổng cross-site scripting (XSS) lưu trữ trong màn hình soạn thảo email của quản trị viên. Cài đặt tên tổ chức MISP.org được nội suy trực tiếp vào một chuỗi ký tự JavaScript bằng cách sử dụng lệnh echo PHP không thoát: var org = "<?php echo $org;?>". Vì giá trị này được đặt bên trong một chuỗi JavaScript có dấu ngoặc kép mà không qua bất kỳ quá trình mã hóa nào, nên tên tổ chức chứa ký hiệu nháy kép (hoặc dấu gạch chéo ngược) có thể kết thúc chuỗi ký tự và tiêm mã JavaScript tùy ý vào trang. Mã script đã tiêm sẽ thực thi trong ngữ cảnh của bất kỳ người dùng đã xác thực nào sau đó tải trang email quản trị viên, cho phép đánh cắp phiên làm việc, trích xuất dữ liệu hoặc thực hiện các hành động đặc quyền thay mặt nạn nhân.
Việc khai thác yêu cầu khả năng đặt hoặc sửa đổi tên tổ chức MISP.org và một người dùng đã xác thực khác truy cập vào chế độ xem email quản trị viên bị ảnh hưởng.
Lỗ hổng này là một trường hợp điển hình của việc mã hóa đầu ra không đủ trong ngữ cảnh JavaScript.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.