CVE-2026-104908

MISP zawiera podatność na nieprawidłową kontrolę dostępu w wyszukiwaniu atrybutów i paginowanym widoku atrybutów. Gdy użytkownik zapytuje o miękkie usunięte atrybuty (np. przez wyszukiwanie usuniętych atrybutów lub paginowaną listę), aplikacja zwracała miękkie usunięte atrybuty należące do zdarzeń innych organizacji każdemu uwierzytelnionemu użytkownikowi, który miał widoczność zdarzenia. Widok szczegółów zdarzenia poprawnie ograniczał widoczność miękkich usuniętych atrybutów do organizacji właściciela i użytkowników z uprawnieniami synchronizacji, ale ścieżki kodu wyszukiwania atrybutów i paginowanego widoku nie miały tego ograniczenia. Warunki: uwierzytelniony użytkownik MISP z co najmniej dostępem do odczytu zdarzenia należącego do innej organizacji oraz zapytanie o usunięte atrybuty. Wpływ: ujawnienie poufnych miękkich usuniętych atrybutów (np. IOC, wskaźników, kontekstu) z innych organizacji nieautoryzowanym użytkownikom. Dotyczy wersji MISP przed v2.5.48.

MISP zawiera podatność na cross-site scripting (XSS) w stronie podglądu zdarzeń zdalnych. Gdy skonfigurowany jest połączony (zdalny) serwer MISP, podgląd zdarzenia renderuje identyfikatory tagów wewnątrz atrybutu onclick JavaScript. Wartość ID tagu była HTML-escape'owana, ale nie sanityzowana dla kontekstu stringa JavaScript, co oznacza, że złośliwy połączony serwer mógł dostarczyć ID tagu zawierające znaki (takie jak pojedynczy cudzysłów), które wyłamują się z literału stringa JavaScript i wstrzykują dowolny skrypt. Warunki: skonfigurowany i połączony zdalny serwer MISP, serwer dostarcza spreparowany ID tagu w zdarzeniu, uwierzytelniony użytkownik przegląda podgląd zdarzenia i wchodzi w interakcję z dotkniętym elementem tagu. Wpływ: wykonanie dowolnego JavaScriptu w kontekście sesji przeglądarki użytkownika, potencjalnie umożliwiające przejęcie sesji, eksfiltrację danych lub nieautoryzowane działania w imieniu użytkownika. Dotyczy wersji MISP przed commit naprawczy (v2.5.48 lub później, dokładna granica niepotwierdzona).

MISP zawiera podatność na cross-site scripting (XSS) w przeglądarce obiektów TAXII. Podczas wyświetlania zdalnego obiektu TAXII, zawartość JSON właściwości string była renderowana bezpośrednio w bloku HTML pre bez kodowania HTML. Atakujący, który może kontrolować lub wpływać na zawartość obiektu TAXII (np. publikując złośliwy obiekt na serwerze TAXII, do którego subskrybuje instancja MISP ofiary), może wstrzyknąć dowolny HTML lub JavaScript, który wykonuje się w kontekście sesji MISP ofiary. Warunki: ofiara musi być uwierzytelnionym użytkownikiem MISP z dostępem do przeglądarki obiektów TAXII oraz musi otworzyć lub wyświetlić spreparowany obiekt TAXII. Wpływ: wykonanie dowolnego JavaScriptu w przeglądarce ofiary w kontekście aplikacji MISP, potencjalna kradzież tokenów sesji, kluczy API lub innych wrażliwych danych dostępnych z interfejsu MISP oraz możliwość wykonywania działań w imieniu uwierzytelnionego użytkownika. Dotyczy wersji <2.5.48.

MISP zawiera podatność na cross-site scripting (XSS) w funkcji ID Translator. Gdy użytkownik przegląda stronę ID Translator, aplikacja odpytuje połączone (zdalne) serwery MISP o odpowiadające identyfikatory zdarzeń. Identyfikator zdarzenia zwrócony przez zdalny serwer był renderowany w wyjściu HTML bez odpowiedniego kodowania wyjścia. Złośliwy lub skompromitowany połączony serwer mógł zwrócić spreparowany identyfikator zdarzenia zawierający dowolny HTML lub JavaScript. Ten markup był renderowany w przeglądarce każdego użytkownika w organizacji gospodarza, który przegląda stronę ID Translator, umożliwiając przejęcie sesji, kradzież poświadczeń lub inne ataki po stronie klienta. Warunki: ofiara musi być uwierzytelnionym użytkownikiem instancji MISP gospodarza, połączony serwer musi być skonfigurowany na instancji gospodarza, a ofiara musi nawigować do strony ID Translator dla danego zdarzenia. Dotyczy wersji <2.5.48.

MISP zawiera podatność na przechowywane cross-site scripting (XSS) w renderowaniu tabeli indeksu podglądu zdarzeń zdalnych. Szablon pola count escapował powiązany URL linku, ale renderował wartość pola bez kodowania HTML. Atakujący z możliwością tworzenia lub modyfikowania zdarzeń na połączonym (zdalnym) serwerze MISP mógł spreparować identyfikator zdarzenia zawierający HTML lub JavaScript. Gdy użytkownik na lokalnej instancji MISP przegląda indeks podglądu zdarzeń zdalnych, nieescapowana wartość jest renderowana bezpośrednio w przeglądarce, umożliwiając wykonanie dowolnego skryptu w sesji ofiary. Warunki: skonfigurowany i połączony zdalny serwer MISP, atakujący ma wystarczający dostęp na połączonym serwerze do tworzenia lub modyfikowania zdarzenia ze spreparowanym identyfikatorem, a ofiara na lokalnej instancji przegląda stronę indeksu podglądu zdarzeń zdalnych. Wpływ: wykonanie dowolnego JavaScriptu w kontekście aplikacji webowej MISP, potencjalne przejęcie sesji, eksfiltracja danych lub nieautoryzowane działania w imieniu uwierzytelnionego użytkownika. Dotyczy wersji <2.5.48.

MISP przed wersją 2.5.48 zawiera niekompletną kontrolę autoryzacji w funkcji publikowania dyskusji. Uwierzytelniony użytkownik spoza grupy udostępniania lub bez widoczności powiązanego zdarzenia może czytać tytuł wątku i treść cytowanego posta oraz dodawać nowe posty do wątku, do którego nie ma uprawnień.

MISP zawiera podatność na odbity XSS w panelu notatek danych analityka. Parametr seed path, dostarczany przez użytkownika w URL, jest przekazywany bezpośrednio do JavaScript w odpowiedzi HTML bez sanitizacji. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, co pozwala na wykonanie dowolnego JavaScript w kontekście przeglądarki ofiary. Podatność dotyczy wersji przed poprawką (commit 58925dbf0, po v2.5.48).

MISP zawiera podatność na odbity XSS w formularzach potwierdzenia tagów taksonomii (dodawanie i wyłączanie tagów). Formularze te wyświetlały wartość tagu dostarczoną przez użytkownika bez escape'owania. Atakujący może nakłonić administratora do odwiedzenia spreparowanego URL z złośliwym tagiem, co pozwala na wykonanie dowolnego JavaScript w sesji administratora. Podatność dotyczy wersji <2.5.48.

MISP zawiera podatność w przepływie uwierzytelniania jednorazowym hasłem (OTP), która pozwala na powtórne użycie skonsumowanego tokena HOTP (papierowego) i cofnięcie licznika tokena. Logika weryfikacji HOTP porównywała przesłany token z wartością licznika zapisaną w sesji użytkownika w momencie wprowadzenia hasła, a nie z autorytatywnym licznikiem przechowywanym w bazie danych. Ponieważ licznik zapisany w sesji nie jest aktualizowany po pomyślnym użyciu tokena, atakujący posiadający ważną sesję (hasło już wprowadzone) może ponownie użyć wcześniej spalonego tokena HOTP. Warunkiem jest, że docelowy użytkownik ma włączone uwierzytelnianie dwuskładnikowe HOTP (papierowy token), atakujący posiada ważną sesję, w której krok hasła został już ukończony (krok OTP jest oczekujący), oraz ma dostęp do co najmniej jednej wartości tokena HOTP (np. listy tokenów papierowych). Wpływ: obejście drugiego czynnika uwierzytelniania, umożliwiające nieautoryzowany dostęp do konta MISP, oraz uszkodzenie stanu licznika HOTP, potencjalnie unieważniające kolejne legalne tokeny lub umożliwiające dalsze powtórzenia. Dotyczy wersji <2.5.48.

MISP zawiera podatność na trwały skrypt XSS w obsłudze ikon galaktyk. Pole ikony obiektu galaktyki jest zapisywane bez walidacji po stronie serwera, a następnie bezpośrednio wstawiane do kodu HTML przez skrypty renderujące graf korelacji. Użytkownik z uprawnieniami perm_galaxy_editor może zapisać dowolny kod HTML lub JavaScript, który wykona się w przeglądarce innego użytkownika otwierającego graf korelacji.