CVE-2026-94372
ŚrednieCVSS 6.3Streszczenie
MISP w domyślnym motywie zawiera podatność typu stored XSS na stronie indeksu Galaxies. Nazwy przykładowych tagów pochodzące z nieznanych klastrów galaktyk są wstawiane do HTML bez kodowania encji, co pozwala użytkownikowi z uprawnieniami edycji tagów wstrzyknąć złośliwy skrypt. Administrator odwiedzający stronę Galaxies uruchamia ten skrypt w swojej sesji przeglądarki.
Ocena ryzyka
Atakujący z uprawnieniami edycji tagów może przejąć kontekst przeglądarki administratora, odczytać dane sesji lub wykonać działania w jego imieniu. Serwer MISP nie jest bezpośrednio kompromitowany, ale skutki dla konta administratora mogą być poważne.
Rekomendacja
Zaktualizuj MISP do wersji 2.5.47 lub nowszej, która zawiera poprawkę. Do czasu aktualizacji rozważ ograniczenie uprawnień edycji tagów oraz korzystanie z motywu Overmind, który nie jest podatny.
Inne podatności w MISP
Zobacz wszystkie- CVE-2026-107180Wysokie
W instancjach MISP skonfigurowanych z wymaganym TOTP (Security.otp_required), wymuszanie konfiguracji dwuskładnikowego uwierzytelniania dotyczyło tylko standardowych żądań przeglądarki. Uwierzytelniony użytkownik, który nie zapisał się jeszcze do TOTP, mógł ominąć wymuszoną konfigurację, wysyłając żądania nieprzeglądarkowe, takie jak AJAX/XHR, API REST, URL-e .json, restSearch czy akcje automatyzacji. Ponieważ te żądania nie mogą podążać za przekierowaniem, które prowadzi do strony rejestracji TOTP, kontrola była pomijana, a użytkownik zachowywał pełny dostęp bez dokończenia konfiguracji drugiego czynnika. Poprawki (commity 8deb0619e i 6b527ba6e) rozszerzyły ochronę na wszystkie nieprzeglądarkowe żądania, z wyjątkiem uwierzytelnienia przez klucz API. Wersja dotknięta: <2.5.48.
- CVE-2026-107175Średnie
MISP zawiera defekt w przepływie zapisu zdarzeń, który uniemożliwia silnikowi korelacji ponowne przeliczenie korelacji, gdy zmieniany jest poziom dystrybucji lub grupa udostępniania zdarzenia. Podczas edycji istniejącego zdarzenia i zmiany jego dystrybucji lub sharing_group_id, wewnętrzny hook przed zapisem przechowywał nowe dane zamiast wcześniej zapisanych wartości. W rezultacie porównanie po zapisie, które decyduje o potrzebie odświeżenia korelacji, nigdy nie wykrywało zmiany, a nieaktualne korelacje pozostawały. Wpływ na bezpieczeństwo: nieaktualne korelacje mogą nadal ujawniać dane zdarzenia użytkownikom w szerszej grupie udostępniania po przeniesieniu zdarzenia do bardziej restrykcyjnej grupy, co prowadzi do niezamierzonego ujawnienia informacji. Odwrotnie, nowo istotne korelacje mogą nie pojawić się po poszerzeniu dystrybucji, pogarszając kompletność wymiany informacji o zagrożeniach. Warunki wstępne: uwierzytelniony użytkownik z prawem zapisu do co najmniej jednego zdarzenia MISP; użytkownik modyfikuje pole dystrybucji lub sharing_group_id. Dotknięte wersje: <2.5.48
- CVE-2026-104908Wysokie
MISP przed wersją 2.5.48 ma podatność niewłaściwej walidacji danych wejściowych w funkcji importu modeli zanikających. Użytkownik z uprawnieniami perm_decaying może nadpisać istniejące modele innych organizacji, zmienić ich właściciela lub utworzyć model domyślny, wpływając na zachowanie oceniania.
- CVE-2026-104907Średnie
MISP zawiera podatność na cross-site scripting (XSS) w stronie podglądu zdarzeń zdalnych. Gdy skonfigurowany jest połączony (zdalny) serwer MISP, podgląd zdarzenia renderuje identyfikatory tagów wewnątrz atrybutu onclick JavaScript. Wartość ID tagu była HTML-escape'owana, ale nie sanityzowana dla kontekstu stringa JavaScript, co oznacza, że złośliwy połączony serwer mógł dostarczyć ID tagu zawierające znaki (takie jak pojedynczy cudzysłów), które wyłamują się z literału stringa JavaScript i wstrzykują dowolny skrypt. Warunki: skonfigurowany i połączony zdalny serwer MISP, serwer dostarcza spreparowany ID tagu w zdarzeniu, uwierzytelniony użytkownik przegląda podgląd zdarzenia i wchodzi w interakcję z dotkniętym elementem tagu. Wpływ: wykonanie dowolnego JavaScriptu w kontekście sesji przeglądarki użytkownika, potencjalnie umożliwiające przejęcie sesji, eksfiltrację danych lub nieautoryzowane działania w imieniu użytkownika. Dotyczy wersji MISP przed commit naprawczy (v2.5.48 lub później, dokładna granica niepotwierdzona).
- CVE-2026-104906Średnie
MISP zawiera podatność na cross-site scripting (XSS) w przeglądarce obiektów TAXII. Podczas wyświetlania zdalnego obiektu TAXII, zawartość JSON właściwości string była renderowana bezpośrednio w bloku HTML pre bez kodowania HTML. Atakujący, który może kontrolować lub wpływać na zawartość obiektu TAXII (np. publikując złośliwy obiekt na serwerze TAXII, do którego subskrybuje instancja MISP ofiary), może wstrzyknąć dowolny HTML lub JavaScript, który wykonuje się w kontekście sesji MISP ofiary. Warunki: ofiara musi być uwierzytelnionym użytkownikiem MISP z dostępem do przeglądarki obiektów TAXII oraz musi otworzyć lub wyświetlić spreparowany obiekt TAXII. Wpływ: wykonanie dowolnego JavaScriptu w przeglądarce ofiary w kontekście aplikacji MISP, potencjalna kradzież tokenów sesji, kluczy API lub innych wrażliwych danych dostępnych z interfejsu MISP oraz możliwość wykonywania działań w imieniu uwierzytelnionego użytkownika. Dotyczy wersji <2.5.48.
- CVE-2026-104901Średnie
MISP zawiera podatność na cross-site scripting (XSS) w funkcji ID Translator. Gdy użytkownik przegląda stronę ID Translator, aplikacja odpytuje połączone (zdalne) serwery MISP o odpowiadające identyfikatory zdarzeń. Identyfikator zdarzenia zwrócony przez zdalny serwer był renderowany w wyjściu HTML bez odpowiedniego kodowania wyjścia. Złośliwy lub skompromitowany połączony serwer mógł zwrócić spreparowany identyfikator zdarzenia zawierający dowolny HTML lub JavaScript. Ten markup był renderowany w przeglądarce każdego użytkownika w organizacji gospodarza, który przegląda stronę ID Translator, umożliwiając przejęcie sesji, kradzież poświadczeń lub inne ataki po stronie klienta. Warunki: ofiara musi być uwierzytelnionym użytkownikiem instancji MISP gospodarza, połączony serwer musi być skonfigurowany na instancji gospodarza, a ofiara musi nawigować do strony ID Translator dla danego zdarzenia. Dotyczy wersji <2.5.48.
- CVE-2026-104900Średnie
MISP zawiera podatność na przechowywane cross-site scripting (XSS) w renderowaniu tabeli indeksu podglądu zdarzeń zdalnych. Szablon pola count escapował powiązany URL linku, ale renderował wartość pola bez kodowania HTML. Atakujący z możliwością tworzenia lub modyfikowania zdarzeń na połączonym (zdalnym) serwerze MISP mógł spreparować identyfikator zdarzenia zawierający HTML lub JavaScript. Gdy użytkownik na lokalnej instancji MISP przegląda indeks podglądu zdarzeń zdalnych, nieescapowana wartość jest renderowana bezpośrednio w przeglądarce, umożliwiając wykonanie dowolnego skryptu w sesji ofiary. Warunki: skonfigurowany i połączony zdalny serwer MISP, atakujący ma wystarczający dostęp na połączonym serwerze do tworzenia lub modyfikowania zdarzenia ze spreparowanym identyfikatorem, a ofiara na lokalnej instancji przegląda stronę indeksu podglądu zdarzeń zdalnych. Wpływ: wykonanie dowolnego JavaScriptu w kontekście aplikacji webowej MISP, potencjalne przejęcie sesji, eksfiltracja danych lub nieautoryzowane działania w imieniu uwierzytelnionego użytkownika. Dotyczy wersji <2.5.48.
- CVE-2026-103858Średnie
MISP przed wersją 2.5.48 zawiera niekompletną kontrolę autoryzacji w funkcji publikowania dyskusji. Uwierzytelniony użytkownik spoza grupy udostępniania lub bez widoczności powiązanego zdarzenia może czytać tytuł wątku i treść cytowanego posta oraz dodawać nowe posty do wątku, do którego nie ma uprawnień.
- CVE-2026-103664Średnie
MISP zawiera podatność na odbity XSS w panelu notatek danych analityka. Parametr seed path, dostarczany przez użytkownika w URL, jest przekazywany bezpośrednio do JavaScript w odpowiedzi HTML bez sanitizacji. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, co pozwala na wykonanie dowolnego JavaScript w kontekście przeglądarki ofiary. Podatność dotyczy wersji przed poprawką (commit 58925dbf0, po v2.5.48).
- CVE-2026-103662Średnie
MISP zawiera podatność na odbity XSS w formularzach potwierdzenia tagów taksonomii (dodawanie i wyłączanie tagów). Formularze te wyświetlały wartość tagu dostarczoną przez użytkownika bez escape'owania. Atakujący może nakłonić administratora do odwiedzenia spreparowanego URL z złośliwym tagiem, co pozwala na wykonanie dowolnego JavaScript w sesji administratora. Podatność dotyczy wersji <2.5.48.
Oryginalny opis (angielski, źródło NVD)
MISP contains a stored cross-site scripting (XSS) vulnerability in the default theme's Galaxies index page. When a MISP instance detects unknown custom or default galaxy clusters during synchronization, it renders sample tag names in an informational notice directed at site administrators. In the default theme, these sample tag names were inserted into the HTML output without HTML-entity encoding. A user with tag-editor privileges could craft a malicious misp-galaxy tag containing arbitrary script. When a site administrator subsequently viewed the Galaxies index page, the crafted tag content was interpreted as executable markup in the administrator's browser session, enabling the attacker to read session data, perform actions on behalf of the administrator, or otherwise compromise the administrator's browser context. The Overmind theme already applied HTML escaping to the same values and was not affected. The vulnerability requires the attacker to possess tag-editor-level access to create the crafted tag and requires the victim (a site administrator) to view the Galaxies index page in the default theme. The impact is limited to the administrator's browser session and does not directly compromise the MISP server process. Version affected: <2.5.47
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS