CVE-2026-54395
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
MISP zawiera podatność na refleksyjny atak typu cross-site scripting w widoku indeksu zdarzeń UiBeta. Wartość urlparams jest wstawiana do wewnętrznego handlera JavaScript, co pozwala atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.
Ocena ryzyka
Atakujący może stworzyć złośliwy URL, który po otwarciu przez ofiarę umożliwi wykonanie nieautoryzowanego kodu w kontekście instancji MISP, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację MISP do najnowszej wersji, w której problem został naprawiony poprzez odpowiednie kodowanie wartości jako literał JavaScript przed zastosowaniem HTML escaping.
Inne podatności w MISP
Zobacz wszystkie- CVE-2026-61474Średnie
W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).
- CVE-2017-14337Wysokie
W MISP przed wersją 2.4.80, gdy skonfigurowano uwierzytelnianie za pomocą certyfikatu X.509 w połączeniu z zewnętrznym API zarządzania użytkownikami, istnieje możliwość, że nieautoryzowany użytkownik uzyska dostęp jako dowolny użytkownik, jeśli API zwróci pustą wartość.
- CVE-2026-10868Krytyczne
MISP ma podatność masowego przypisania w funkcji edycji użytkownika (UsersController::edit()). Uwierzytelniony atakujący może zmodyfikować identyfikator użytkownika w żądaniu, co pozwoli na aktualizację konta innego użytkownika.
- CVE-2026-10611Krytyczne
W systemie MISP występuje luka umożliwiająca ominięcie uwierzytelniania, gdy włączone jest mieszane uwierzytelnianie LDAP z wymuszonym OTP. Uwierzytelniony użytkownik może ominąć krok OTP i uzyskać dostęp do aplikacji bez podania kodu TOTP, HOTP lub e-mail OTP.
- CVE-2024-29859Krytyczne
W MISP przed wersją 2.4.187 funkcja add_misp_export w pliku app/Controller/EventsController.php nie sprawdza poprawnie, czy przesłany plik jest ważny.
- CVE-2024-25674Krytyczne
W MISP przed wersją 2.4.184 odkryto problem związany z niebezpiecznym przesyłaniem logo organizacji, spowodowanym brakiem weryfikacji rozszerzenia pliku i typu MIME.
- CVE-2023-50918Krytyczne
W pliku app/Controller/AuditLogsController.php w MISP przed wersją 2.4.182 niewłaściwie zarządzane są listy kontroli dostępu (ACL) dla logów audytowych.
- CVE-2023-48659Krytyczne
W MISP przed wersją 2.4.176 występuje problem związany z niewłaściwym przetwarzaniem parametrów w pliku app/Controller/AppController.php.
- CVE-2022-29528Krytyczne
W MISP przed wersją 2.4.158 odkryto problem związany z deserializacją PHAR.
- CVE-2021-39302Krytyczne
MISP w wersji 2.4.148, w określonych konfiguracjach, umożliwia atak typu SQL injection poprzez wartość $conditions['org'] w pliku app/Model/Log.php.
Oryginalny opis (angielski, źródło NVD)
MISP contains a reflected cross-site scripting vulnerability in the UiBeta event index view. The urlparams value is inserted into an inline JavaScript handler using HTML escaping inside a single-quoted JavaScript string. Because browsers HTML-decode attribute values before JavaScript parsing, a crafted searcheventinfo value can restore encoded quote characters and break out of the JavaScript string. An attacker could craft a malicious URL that, when opened by a victim using the UiBeta event index, executes arbitrary JavaScript in the victim’s browser in the context of the MISP instance. The issue is fixed by encoding the value as a JavaScript string literal with json_encode() before applying HTML escaping at the attribute layer.