CVE-2026-112183
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
MISP zawiera lukę w zabezpieczeniach polegającą na wstrzykiwaniu CSS w funkcji zdalnego podglądu zdarzeń. Gdy użytkownik przegląda wydarzenie z połączonego serwera MISP, wartość koloru powiązana z każdym zdalnym znacznikiem jest zapisywana bezpośrednio w wbudowanym atrybucie stylu CSS bez wystarczającej weryfikacji. Chociaż stosowane jest kodowanie encji HTML, wartość jest interpretowana jako CSS w atrybucie style, umożliwiając złośliwemu lub przejętemu serwerowi połączonemu wstrzyknięcie dowolnych deklaracji CSS.
Osoba atakująca mająca możliwość tworzenia lub modyfikowania tagów w połączonej instancji MISP może utworzyć wartość koloru tagu zawierającą ładunki wstrzykiwania CSS. Gdy użytkownik instancji lokalnej przegląda podgląd zdarzenia, renderowany jest wstrzyknięty CSS, co potencjalnie pozwala na manipulację interfejsem użytkownika, fałszowanie wizualne lub ograniczone ujawnianie informacji za pomocą technik opartych na CSS.
Warunki wstępne:
- Istnieje relacja połączonego serwera MISP pomiędzy instancją ofiary a instancją kontrolowaną przez osobę atakującą.
- Osoba atakująca może tworzyć lub modyfikować tagi na połączonym serwerze.
- Użytkownik będący ofiarą przegląda stronę zdalnego podglądu zdarzeń.
Dotknięte: <2.5.48.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org