MISP sachertortephp: Stored XSS über unbereinigten Download-Dateinamen

Zusammenfassung

Die Methode CakeResponse::download() in sachertortephp, der CakePHP-basierten Anwendung von MISP, erstellt den Content-Disposition-Header aus einem vom Aufrufer gelieferten Dateinamen ohne Bereinigung. Ein authentifizierter Benutzer, der einen Anhang mit manipuliertem Dateinamen erstellen oder hochladen kann, etwa bei der Benennung von MISP-Attributen oder Vorschlägen, kann einen schädlichen Namen speichern. Wenn ein anderer Benutzer die betroffene Seite aufruft, können Steuerzeichen die Anhang-Darstellung unterdrücken, sodass HTML inline auf dem Anwendungs-Origin gerendert wird, und Anführungszeichen können zusätzliche Header-Parameter einschleusen. Die Auswirkung entspricht einem gespeicherten Cross-Site-Scripting, inklusive Session-Hijacking und unautorisierten Aktionen.

Betroffen

• MISP sachertortephp, Versionen 0 bis zum Commit 1c2da20cbe3f1e2a91458fe9a017823b7273fdac (keine Release-Version angegeben)
• Betroffene Funktion: CakeResponse::download() in lib/Cake/Network/CakeResponse.php und alle Aufrufer, einschliesslich Attribut-Downloads, Vorschlag-Downloads und restSearch-Exporte

Behoben in

• Unbekannt. Es wurde keine korrigierte Release-Version gefunden.
• Zwei Commits werden als Sicherheitskorrekturen referenziert: afbc551aa6b8aedb87dfa1223a388e9a3178abfd (entfernt C0-Steuerzeichen und DEL) und e2c80021729611922817a57d2317b2ffa7ed1439 (maskiert Anführungszeichen und Backslashes).
• Die Quellen widersprechen sich: Eine Quelle meldet, dass keine Korrektur verfügbar ist.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Beschränken Sie, wer Anhänge erstellen oder hochladen und Attribut- oder Vorschlagsnamen setzen kann.
• Prüfen Sie bestehende Anhangsnamen auf Anführungszeichen und Steuerzeichen.
• Optional kann ein Reverse Proxy X-Content-Type-Options: nosniff und eine restriktive Content-Security-Policy senden. Dies begrenzt die Auswirkung, ist aber keine Korrektur.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Nicht im CISA-KEV-Katalog; die CISA-SSVC-Bewertung lautet Exploitation none und Automatable no.
• EPSS unter 1 Prozent.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen Sie, ob Ihre MISP-Installation sachertortephp enthält und welchen Commit sie verwendet.
• Prüfen Sie die beiden referenzierten Commits und wenden Sie sie an oder aktualisieren Sie, sobald eine korrigierte Version veröffentlicht ist.
• Überprüfen Sie Konten, die Anhänge hochladen können, und entziehen Sie nicht benötigte Berechtigungen.
• Priorisieren Sie aus dem Internet erreichbare Instanzen sowie Instanzen mit vielen Konten oder organisationsübergreifendem Teilen.
• Beobachten Sie NVD und das MISP-Projekt auf eine Advisory oder ein Release.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit: strip control characters from download filenames github.com
• Fix commit: escape the download filename quoted-string github.com
• OSV entry CVE-2026-106512 osv.dev
• OpenCVE CVE-2026-106512 app.opencve.io
• threatint CVE-2026-106512 cve.threatint.com
• Hol.org CVE-2026-106512 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:46.