CVE-2026-88921

MISP zawiera lukę umożliwiającą wstrzykiwanie kodu HTML w komponencie MISPElementHTMLFormatterTool, który jest odpowiedzialny za renderowanie odniesień do elementów MISP (atrybutów, obiektów i znaczników) do wbudowanego kodu HTML podczas eksportu raportu do formatu PDF za pośrednictwem modułu konwersji_markdown_to_pdf. Metody atrybut(), objectAttribute(), object() i tag() interpolowały pola kontrolowane przez użytkownika (typ atrybutu, wartość atrybutu, nazwa obiektu, relacja z obiektem, nazwa znacznika, kolor znacznika i kolor tekstu znacznika) bezpośrednio do szablonów HTML bez stosowania kodowania encji HTML. Uwierzytelniony użytkownik z możliwością tworzenia lub modyfikowania atrybutów, obiektów lub znaczników MISP może osadzić w tych polach dowolne znaczniki HTML. Kiedy raport zawierający takie elementy był eksportowany do formatu PDF, pozbawiona zmiany treść była renderowana jako aktywny kod HTML, a nie jako obojętny tekst, co mogło spowodować wstrzyknięcie znaczników skryptu, złamanie struktury dokumentu lub zmianę wizualnej zawartości wyeksportowanego raportu. Ponadto metoda atrybut() zawierała szablon z zakodowanymi na stałe przykładowymi wartościami („domain-ip” i „google.com”) zamiast symboli zastępczych formatu, co oznacza, że ​​każde zwykłe odwołanie do atrybutu w pliku PDF wyświetlało przykładowy tekst, a nie rzeczywistą wartość wskaźnika, co stanowi defekt integralności danych w wyeksportowanym dokumencie. Luka wymaga uwierzytelnionego aktora z uprawnieniami do zapisu elementów MISP i późniejszego eksportu raportu odnoszącego się do tych elementów w formacie PDF. Wpływ na bezpieczeństwo dotyczy przede wszystkim integralności eksportowanego dokumentu oraz, w zależności od silnika renderującego HTML na PDF, potencjalnego wykonania wstrzykniętych znaczników na etapie konwersji.

Wersja, której dotyczy problem: ≤2.5.45