CVE-2026-85227
ŚrednieCVSS 6.1Streszczenie
MISP zawiera odbitą podatność Cross-Site Scripting (XSS) w konstruktorze zapytań filtrowania atrybutów zdarzeń. Parametry URL taggedAttributes i galaxyAttachedAttributes były wstawiane do reguł konstruktora zapytań bez escapowania HTML przed serializacją do JSON i osadzeniem wewnątrz elementu <script>.
Ocena ryzyka
Atakujący może wykorzystać podatność, przekonując uwierzytelnionego użytkownika MISP do kliknięcia spreparowanego URL-a. Skuteczne wykorzystanie pozwoli na wykonanie kontrolowanego przez atakującego JavaScript w kontekście bezpieczeństwa instancji MISP i z uprawnieniami sesji przeglądarki ofiary, co może umożliwić dostęp do informacji, modyfikację danych lub inne działania dozwolone przez uprawnienia ofiary.
Rekomendacja
Zaktualizuj MISP do wersji zawierającej poprawkę, która stosuje escapowanie HTML za pomocą h() do wartości skalarnych i tablicowych przed wstawieniem do DOM. Dodatkowo edukuj użytkowników o ryzyku klikania w podejrzane linki.
Inne podatności w MISP
Zobacz wszystkie- CVE-2026-85239Wysokie
Podatność w MISP pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia lub modyfikowania szablonów zdarzeń na obejście walidacji pola definicji szablonu. Poprzez dostarczenie pre-encoded stringa zamiast struktury tablicowej, można zapisać nieprawidłową definicję, co prowadzi do trwałego przechowywania błędnych danych. Przy odczycie, nieprawidłowy JSON wywołuje wyjątek, powodując błędy HTTP 500 w funkcjach opartych na szablonach zdarzeń.
- CVE-2026-85238Wysokie
MISP zawiera podatność na fiksację sesji w przepływie uwierzytelniania CustomAuth. Po pomyślnym uwierzytelnieniu przez CustomAuth, MISP przechowuje tożsamość uwierzytelnionego użytkownika w istniejącej sesji bez wcześniejszej rotacji identyfikatora sesji. Atakujący, który zna identyfikator sesji ofiary przed uwierzytelnieniem, może go później wykorzystać do uzyskania dostępu do uwierzytelnionej sesji ofiary.
- CVE-2026-85237Wysokie
Podatność w przepływie uwierzytelniania jednorazowym hasłem (OTP) opartym na e-mailu w MISP pozwalała atakującemu na nieograniczoną liczbę prób weryfikacji OTP. Endpoint email_otp() nie stosował ochrony przed brute-force, co umożliwiało wielokrotne zgadywanie OTP i potencjalne ominięcie dodatkowego czynnika uwierzytelniania.
- CVE-2026-85236Wysokie
Podatność CSRF w akcji cullEmptyEvents w MISP. Endpoint wykonywał operację zmieniającą stan i nieodwracalną, akceptując żądania HTTP GET. Atakujący mógł spowodować, że uwierzytelniony użytkownik z odpowiednimi uprawnieniami wywoła endpoint, co prowadzi do usunięcia opublikowanych pustych zdarzeń.
- CVE-2026-85226Średnie
MISP zawiera wadę autoryzacji w silniku korelacji OnDemand, gdzie korelacje były obliczane wyłącznie na podstawie pasujących wartości atrybutów bez uwzględniania ograniczeń dystrybucji, grupy udostępniania, organizacji lub innych ograniczeń kontroli dostępu związanych z korelowanymi atrybutami i zdarzeniami. W rezultacie uwierzytelniony użytkownik mógł otrzymać wyniki korelacji odnoszące się do atrybutów lub zdarzeń, do których nie był upoważniony.
- CVE-2026-61474Średnie
W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).
- CVE-2017-14337Wysokie
W MISP przed wersją 2.4.80, gdy skonfigurowano uwierzytelnianie za pomocą certyfikatu X.509 w połączeniu z zewnętrznym API zarządzania użytkownikami, istnieje możliwość, że nieautoryzowany użytkownik uzyska dostęp jako dowolny użytkownik, jeśli API zwróci pustą wartość.
- CVE-2026-85216Krytyczne
MISP zawiera podatność polegającą na obejściu uwierzytelniania w komponentach LDAP i LinOTP z powodu niewystarczającej walidacji danych uwierzytelniających. Atakujący, znając adres e-mail użytkownika katalogowego, może wysłać puste hasło, które w przypadku serwera LDAP akceptującego nieuwierzytelnione wiązania może zostać zaakceptowane. Ponadto w komponencie LinOTP puste hasło mogło być sprawdzane względem lokalnego hasła MISP, a konta provisionowane przez LDAP mogły być tworzone z pustym hasłem lokalnym.
- CVE-2026-10868Krytyczne
MISP ma podatność masowego przypisania w funkcji edycji użytkownika (UsersController::edit()). Uwierzytelniony atakujący może zmodyfikować identyfikator użytkownika w żądaniu, co pozwoli na aktualizację konta innego użytkownika.
- CVE-2026-10611Krytyczne
W systemie MISP występuje luka umożliwiająca ominięcie uwierzytelniania, gdy włączone jest mieszane uwierzytelnianie LDAP z wymuszonym OTP. Uwierzytelniony użytkownik może ominąć krok OTP i uzyskać dostęp do aplikacji bez podania kodu TOTP, HOTP lub e-mail OTP.
Oryginalny opis (angielski, źródło NVD)
MISP contains a reflected Cross-Site Scripting (XSS) vulnerability in the event attribute filtering query builder. The taggedAttributes and galaxyAttachedAttributes URL parameters were inserted into the query-builder rules without HTML escaping before being serialized as JSON and embedded inside a <script> element. Because JsonTool::encode() uses JSON_UNESCAPED_SLASHES, an attacker-controlled value containing a closing </script> sequence could terminate the surrounding script element and inject arbitrary HTML or JavaScript. For example, a specially crafted viewEventAttributes URL could contain malicious content in one of the affected filter parameters. An attacker could exploit the vulnerability by convincing an authenticated MISP user to follow a crafted URL. Successful exploitation would execute attacker-controlled JavaScript in the security context of the MISP instance and with the privileges of the victim's authenticated browser session. This could allow access to information available to the victim, modification of data through authenticated requests, or other actions permitted by the victim's MISP permissions. The vulnerability is addressed by applying HTML escaping with h() to both scalar and array values before they are inserted into the DOM.