CVE-2026-94277

Nome do Software Vulnerável e Versões Afetadas MISP versões anteriores a 2.5.47

Description A visualização de estatísticas da matriz da galáxia (app/View/Users/statistics galaxymatrix.ctp) renderiza o nome da galáxia diretamente na saída HTML usando a função sprintf() sem a devida codificação HTML. Um usuário autenticado com a permissão perm galaxy editor pode criar ou modificar um nome de galáxia contendo HTML ou JavaScript arbitrário. Quando outros usuários acessam a página de estatísticas da matriz da galáxia, o script incorporado é executado no contexto do navegador, podendo levar ao sequestro de sessão, roubo de credenciais, exfiltração de dados ou ações não autorizadas dentro da aplicação.

Recommendations Atualize o MISP para a versão 2.5.47 ou posterior.