CVE-2026-95661: отражённый XSS в MISP через список типов в URL
В MISP обнаружена уязвимость отражённого межсайтового скриптинга (XSS) в представлении гистограммы атрибутов. Значение типа, передаваемое в URL, подставляется в JavaScript без экранирования, что позволяет выполнить произвольный код в браузере аутентифицированного пользователя. Критичность — средняя (CVSS 5.1).
Подробности
Уязвимость получила идентификатор CVE-2026-95661 и оценку CVSS 5.1 (MEDIUM). Затронут продукт MISP. Причина проблемы — переменная $selectedTypes, значение которой извлекается из сегмента URL-пути. Это значение напрямую интерполировалось в литерал массива JavaScript внутри HTML-атрибута onClick без какой-либо кодировки или экранирования. В результате злоумышленник, способный побудить аутентифицированного пользователя MISP перейти по специально сформированной ссылке с вредоносным значением типа, может выполнить произвольный JavaScript в браузере жертвы в контексте origin приложения MISP. Успешная эксплуатация позволяет атакующему читать сессионные cookie, выполнять действия от имени жертвы или похищать конфиденциальные данные, доступные через интерфейс MISP. Для срабатывания уязвимости необходимо, чтобы жертва была аутентифицирована и самостоятельно перешла по подготовленному злоумышленником URL.Что делать
Основная рекомендация — обновить MISP до версии, в которой устранена данная уязвимость. Следует отслеживать официальные релизы и бюллетени безопасности проекта MISP и применять доступные исправления. Если обновление невозможно незамедлительно, в качестве временных мер защиты рекомендуется: - ограничить переходы пользователей по внешним и подозрительным ссылкам, ведущим на интерфейс MISP; - использовать защитные механизмы браузера и расширения, блокирующие выполнение подозрительных скриптов; - применять строгую политику Content Security Policy (CSP), снижающую риск выполнения внедрённого JavaScript; - настроить атрибуты сессионных cookie как HttpOnly и Secure, чтобы ограничить доступ скриптов к сессиям; - контролировать журналы доступа на предмет обращений с аномальными значениями параметров в URL. Также стоит ограничить число пользователей с доступом к интерфейсу MISP и регулярно проверять актуальность используемой версии платформы. Итог: CVE-2026-95661 — это уязвимость отражённого XSS средней критичности, эксплуатация которой требует аутентификации жертвы и её перехода по вредоносной ссылке. Наиболее надёжный способ защиты — своевременное обновление MISP; до его установки помогут CSP, безопасные настройки cookie и ограничение переходов по недоверенным ссылкам.Источник: CVE Project (cvelistV5)