CVE-2026-93296
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
MISP zawiera lukę w zabezpieczeniach typu cross-site scripting (XSS) przechowywaną w widokach statystyk motywu Overmind. Karta Ogólne zdarzenia (event_general.ctp) i karta podglądu serwera/kanału (preview_general.ctp) utworzyły etykiety legendy wykresu pierścieniowego, bezpośrednio łącząc nazwę obiektu lub klucze kategorii w ciąg znaków internalHTML bez kodowania HTML. Ponieważ nazwy obiektów MISP (np. nazwy atrybutów, nazwy zdarzeń lub identyfikatory serwera/kanału informacyjnego) mogą być kontrolowane przez dowolnego uwierzytelnionego użytkownika posiadającego wystarczające uprawnienia do tworzenia lub modyfikowania takich obiektów, osoba atakująca może stworzyć nazwę zawierającą złośliwe znaczniki (na przykład znacznik skryptu lub atrybut obsługi zdarzeń). Gdy jakikolwiek inny użytkownik przeglądał panel Overmind, którego dotyczy problem, wstrzyknięty znacznik zostanie zinterpretowany jako aktywny kod HTML/JavaScript w przeglądarce ofiary, wykonywany w kontekście pochodzenia aplikacji MISP. Może to pozwolić na przejęcie sesji, eksfiltrację danych lub wykonanie dowolnych działań w imieniu ofiary. Luka wymaga od osoby atakującej posiadania uwierzytelnionego dostępu niskiego poziomu w celu utworzenia obiektu, którego nazwa jest wyświetlana w legendzie lub zmiany jego nazwy, a od ofiary wyświetlenia zdarzenia Overmind lub strony podglądu serwera. Nie są wymagane żadne specjalne warunki przeglądarki ani warunki wyścigu.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org