CVE-2026-103321

Nome do Software Vulnerável e Versões Afetadas MISP versões anteriores a 2.5.48

Descrição Um problema de cross-site script (XSS) armazenado existe no recurso de visualização do gráfico de eventos. A aplicação aceita e armazena o campo de imagem de visualização do gráfico de eventos sem validação no lado do servidor. No lado do cliente, esse valor é renderizado no atributo src de um elemento img HTML via concatenação de strings, permitindo que um valor manipulado escape do contexto do atributo e execute JavaScript arbitrário no navegador da vítima. Isso requer um usuário autenticado com permissões para criar ou modificar entradas do gráfico de eventos e um segundo usuário que visualize o gráfico e acione o popover de visualização. Isso pode levar ao roubo de tokens de sessão, cookies ou dados sensíveis, e permitir que ações sejam realizadas em nome da vítima.

Recomendações Atualize para a versão 2.5.48 ou posterior.