PT-2026-104361

CVE-2026-104906

Publicado

2026-10-02

Atualizado

2026-10-02

Descrição por

CVSS 4.0

6.2

Média

MétricasAV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N

Nome do Software Vulnerável e Versões Afetadas MISP versões anteriores a 2.5.48

Description Um problema de cross-site scripting (XSS) existe no visualizador de objetos TAXII. A aplicação renderiza o conteúdo JSON de propriedades de string diretamente em um bloco pre HTML sem a devida codificação HTML ao exibir um objeto TAXII remoto. Um invasor capaz de influenciar o conteúdo de um objeto TAXII, como ao publicar um objeto malicioso em um servidor TAXII ao qual a instância da vítima está inscrita, pode injetar HTML ou JavaScript arbitrário. Este script é executado no contexto da sessão do usuário autenticado, podendo levar ao roubo de tokens de sessão, chaves de API ou outros dados sensíveis, além de permitir a realização de ações em nome do usuário.

Recommendations Atualize para a versão 2.5.48 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Iglocska

Jeroen Pinoy

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')