Misp · Misp · CVE-2026-103321
**Nome do Software Vulnerável e Versões Afetadas**
MISP versões anteriores a 2.5.48
**Descrição**
Um problema de cross-site script (XSS) armazenado existe no recurso de visualização do gráfico de eventos. A aplicação aceita e armazena o campo de imagem de visualização do gráfico de eventos sem validação no lado do servidor. No lado do cliente, esse valor é renderizado no atributo `src` de um elemento img HTML via concatenação de strings, permitindo que um valor manipulado escape do contexto do atributo e execute JavaScript arbitrário no navegador da vítima. Isso requer um usuário autenticado com permissões para criar ou modificar entradas do gráfico de eventos e um segundo usuário que visualize o gráfico e acione o popover de visualização. Isso pode levar ao roubo de tokens de sessão, cookies ou dados sensíveis, e permitir que ações sejam realizadas em nome da vítima.
**Recomendações**
Atualize para a versão 2.5.48 ou posterior.