CVE-2026-95682 in MISP
摘要
由 VulDB • 2026-09-22
MISP 在管理员邮件撰写界面中存在一个存储型跨站脚本（XSS）漏洞。MISP.org 组织名称设置通过未转义的 PHP echo 语句直接插入到 JavaScript 字符串字面量中：`var org = "<?php echo $org;?>";`。由于该值被放置在双引号的 JavaScript 字符串内且未经过任何编码处理，包含双引号字符（或反斜杠）的组织名称可以终止字符串字面量并向页面注入任意 JavaScript 代码。注入的脚本将在随后加载管理员邮件页面的任何已认证用户的上下文中执行，从而可能导致会话劫持、数据外泄或以受害者名义执行特权操作。
利用此漏洞需要能够设置或修改 MISP.org 组织名称的能力，以及另一名已认证用户访问受影响的管理员邮件视图。
该漏洞是 JavaScript 环境中输出编码不足的经典案例。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.