CVE-2026-53693
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 — wyżej niż 15% wszystkich znanych CVE
Streszczenie
W MISP BSimVis występuje podatność na przechowywane ataki typu cross-site scripting (XSS) w kodzie renderowania tagów. Wiele ścieżek renderowania po stronie klienta interpoluje nazwy tagów, nazwy kolekcji, identyfikatory encji, nazwy klastrów i metadane tagów bez odpowiedniego kontekstu, co umożliwia atakującym wstrzykiwanie złośliwego kodu.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do wstrzyknięcia złośliwego kodu JavaScript, który zostanie wykonany w sesji ofiary, co może prowadzić do nieautoryzowanego dostępu do danych lub modyfikacji treści aplikacji.
Rekomendacja
Zaleca się aktualizację MISP BSimVis do wersji, która zawiera poprawki zabezpieczeń, aby zminimalizować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting vulnerability existed in MISP BSimVis tag rendering code. Several client-side rendering paths interpolated tag names, collection names, entity identifiers, cluster names, and tag metadata directly into HTML, HTML attributes, inline JavaScript event handlers, and CSS style values without context-appropriate escaping. The patch adds shared escaping helpers for HTML, attributes, JavaScript strings, and CSS color validation, then applies them across tag badges, tooltips, context menus, cluster cards, autocomplete suggestions, and dynamically inserted tag cards. An attacker able to create or influence stored tag or metadata values could inject a crafted payload that is later rendered in another user’s browser. Successful exploitation could execute arbitrary JavaScript in the victim’s session when they view affected BSimVis pages, potentially allowing the attacker to perform actions as the victim, read data available to the victim, or alter displayed application content. This issue affects MISP bsimvis: through v0.2.0.