CVE-2026-53693
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W MISP BSimVis występuje podatność na przechowywane ataki typu cross-site scripting (XSS) w kodzie renderowania tagów. Wiele ścieżek renderowania po stronie klienta interpoluje nazwy tagów, nazwy kolekcji, identyfikatory encji, nazwy klastrów i metadane tagów bez odpowiedniego kontekstu, co umożliwia atakującym wstrzykiwanie złośliwego kodu.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do wstrzyknięcia złośliwego kodu JavaScript, który zostanie wykonany w sesji ofiary, co może prowadzić do nieautoryzowanego dostępu do danych lub modyfikacji treści aplikacji.
Rekomendacja
Zaleca się aktualizację MISP BSimVis do wersji, która zawiera poprawki zabezpieczeń, aby zminimalizować ryzyko związane z tą podatnością.
Powiązane podatności
- CVE-2026-82110Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność na przejście ścieżki (path traversal) z powodu nieprawidłowej walidacji nazw ścieżek. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego kodu.
- CVE-2026-82103Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 ujawnia wrażliwe informacje nieupoważnionemu podmiotowi. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do uzyskania poufnych danych.
- CVE-2026-82101Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność na przejście ścieżki, która może prowadzić do odmowy usługi. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do zakłócenia działania usługi.
- CVE-2026-90920Krytyczne
IBM Maximo AI Service 9.1.0 i 9.2.0 zawiera podatność związaną z nieprawidłową kontrolą generowania kodu. Zdalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu.
- CVE-2026-44828Krytyczne
Qexo w wersjach od 4.0.0 do 4.2.0 udostępnia endpoint /api/init_step/ bez uwierzytelnienia, autoryzacji ani zabezpieczenia przed ponownym uruchomieniem konfiguracji. Nieuwierzytelniony atakujący z ważnym tokenem CSRF może zresetować ustawienie INIT i ponownie wejść w proces konfiguracji, co może ujawnić przechowywane dane uwierzytelniające PROVIDER.
- CVE-2026-109566Krytyczne
Rapyd Admin w wersjach od 9.0.0 do przed 9.20.0 zawiera twardo zakodowane poświadczenia, które pozwalają zdalnym nieuwierzytelnionym atakującym uzyskać dostęp super-administratora przez konto admin@laravel z hasłem admin. Konto jest tworzone przez instalator i cicho odtwarzane przy każdym uruchomieniu rpd:make, umożliwiając atakującym ominięcie autoryzacji i ograniczeń dzierżawy.
- CVE-2026-108929Krytyczne
Netcore NR268 w wersji 1.7.121109 zawiera podatność na wstrzykiwanie argumentów w funkcji execvp pliku /router/DDNSset.cgi w komponencie DDNS. Manipulacja argumentem Hostname może prowadzić do wstrzyknięcia argumentów, a atak może być przeprowadzony zdalnie.
- CVE-2025-71429Krytyczne
GPT-SoVITS do wersji 20250606v2pro zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku tools/uvr5/vr.py, która pozwala nieuwierzytelnionym atakującym wykonywać polecenia przez ścieżki folderów wyjściowych. Atakujący mogą wprowadzić substytucje powłoki, takie jak $(...), w polach tekstowych folderu wyjściowego UVR5 WebUI z eksportem mp3 lub m4a, aby uruchomić polecenia jako użytkownik serwera.
- CVE-2026-96012Krytyczne
IBM Db2 Mirror for i w wersjach 7.4, 7.5 i 7.6 jest podatny na eskalację uprawnień. Uwierzytelniony atakujący może wysłać złośliwe żądanie, które omija dodatkowe kontrole autoryzacji i walidacji danych wejściowych, aby wykonać złośliwy kod i uzyskać podwyższone uprawnienia.
- CVE-2026-109575Krytyczne
HAProxy Data Plane API w wersjach od 2.2.0 do 3.4.3 (oraz odpowiednie wydania Enterprise Edition) zawiera globalną logikę uwierzytelniania, która nieprawidłowo usuwa zabezpieczenia dla wielu typów transportu. Gdy skonfigurowano TLS CA i określono numeryczny port TLS, aplikacja globalnie wyłącza podstawowe uwierzytelnianie na współdzielonym wewnętrznym handlerze żądań, co pozwala nieuwierzytelnionym atakującym na dostęp do endpointów HTTP lub UNIX, całkowicie omijając poświadczenia i uzyskując pełny dostęp administracyjny do API.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting vulnerability existed in MISP BSimVis tag rendering code. Several client-side rendering paths interpolated tag names, collection names, entity identifiers, cluster names, and tag metadata directly into HTML, HTML attributes, inline JavaScript event handlers, and CSS style values without context-appropriate escaping. The patch adds shared escaping helpers for HTML, attributes, JavaScript strings, and CSS color validation, then applies them across tag badges, tooltips, context menus, cluster cards, autocomplete suggestions, and dynamically inserted tag cards. An attacker able to create or influence stored tag or metadata values could inject a crafted payload that is later rendered in another user’s browser. Successful exploitation could execute arbitrary JavaScript in the victim’s session when they view affected BSimVis pages, potentially allowing the attacker to perform actions as the victim, read data available to the victim, or alter displayed application content. This issue affects MISP bsimvis: through v0.2.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS