CVE-2026-81820
ŚrednieCVSS 5.1Streszczenie
Dotknięte wersje Flowintel konstruują HTML osi czasu przy użyciu pól obiektów MISP kontrolowanych przez atakującego, takich jak UUID obiektu, nazwa obiektu, wartość atrybutu, typ atrybutu, komentarz, wartości pierwszej/ostatniej obserwacji oraz flaga IDS. Te wartości były bezpośrednio konkatenowane do ciągów HTML przed renderowaniem. Zatwierdzone zmiany w kodzie wyraźnie stwierdzają, że DOMPurify usuwa wektory XSS, ale nadal przepuszcza inne elementy HTML, takie jak formularze.
Ocena ryzyka
Ryzyko obejmuje możliwość wstrzyknięcia złośliwego HTML, w tym formularzy, co może prowadzić do ataków phishingowych lub innych manipulacji w interfejsie użytkownika. Atakujący może wykorzystać to do przejęcia sesji lub wyłudzenia danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Flowintel do wersji zawierającej poprawkę, która używa bezpiecznego tworzenia DOM i przypisuje wartości przez textContent. Należy również rozważyć dodatkowe zabezpieczenia, takie jak Content Security Policy.
Oryginalny opis (angielski, źródło NVD)
Affected versions of Flowintel construct timeline HTML using attacker-controllable MISP object fields such as: * object UUID; * object name; * attribute value; * attribute type; * comment; * first/last seen values; * IDS flag. Those values were concatenated directly into HTML strings before rendering. The upstream commit explicitly states that DOMPurify removed XSS vectors but still allowed other HTML elements, such as forms, through. The fix replaces direct string interpolation with DOM construction via document.createElement() and assigns all attacker-controlled values using textContent. The headline is similarly converted to escaped HTML through a temporary element. Version impacted =>3.3.0