MISP: Gespeicherte Cross-Site-Scripting-Lücke in der Event-Graph-Vorschau
Zusammenfassung
MISP speichert das Vorschaubild der Event-Graphen ohne serverseitige Validierung und fügt es ohne ausreichende Maskierung in HTML ein. Ein authentifizierter Benutzer, der einen Event-Graph-Eintrag erstellen oder ändern kann, kann einen präparierten Wert einschleusen, der JavaScript im Browser jedes Benutzers ausführt, der die Vorschau öffnet. Dadurch könnten Session-Token oder Cookies gestohlen oder Aktionen im Namen des Opfers innerhalb von MISP ausgeführt werden.
Betroffen
- MISP-Versionen vor dem Fix (der CVE-Eintrag nennt 0 bis < 2.5.48; der Fix wird als nach v2.5.48 angewendet beschrieben)
- Genaue erste korrigierte Version: Unbekannt.
Behoben in
- Fix: Commit 92c7ccc43 im MISP-Repository (serverseitige Validierung des Vorschaubilds und DOM-basierte Attributzuweisung).
- Erste korrigierte Version: Unbekannt. Drittquellen nennen 2.5.48 als korrigiert, was dem CVE-Eintrag widerspricht.
Umgehung
- Unbekannt. Es ist kein Workaround des Herstellers dokumentiert.
- Beschränken Sie, wer Event-Graph-Einträge erstellen oder ändern kann.
- Prüfen Sie bestehende Event-Graph-Einträge auf unerwartete Vorschaubild-Werte.
- Beschränken Sie den Zugriff auf die MISP-Weboberfläche auf vertrauenswürdiges Personal.
Ausnutzung
- CISA SSVC: Exploitation none, automatable no, technical impact partial.
- In den geprüften Quellen nicht als aktiv ausgenutzt gekennzeichnet.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Ermitteln Sie, ob Sie eine MISP-Instanz betreiben und welche Versionläuft.
- Aktualisieren Sie auf die Version mit Commit 92c7ccc43, sobald diese bestätigt ist; gehen Sie bei Einsatz von 2.5.48 nicht davon aus, dass die Lücke geschlossen ist.
- Wenden Sie die oben genannten Zwischenmassnahmen bis zum Update an.
- Prüfen Sie, ob viele Benutzer Events erstellen können oder ob die Instanz Events aus Partnergemeinschaften übernimmt, da dies das Risiko erhöht.
- Überwachen Sie unerwartete Änderungen an Event-Graph-Einträgen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MISP fix commit 92c7ccc43 github.com
- OSV: CVE-2026-103321 osv.dev
- HOL: CVE-2026-103321 hol.org
- Zigrin advisory: MISP stored XSS in the event graph zigrin.com
- MISP security page misp.software
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.