JVNDB-2026-018701

MISPにおけるオープンリダイレクトの脆弱性

MISPダッシュボードのボタンウィジェットにおけるURL検証の欠陥により、ブラウザが外部URLとして解釈する相対的に見えるURLがローカルパスとして受け入れられてしまいました。この検証は明示的なスキーム、ホスト、またはユーザーコンポーネントを含むURLを拒否しましたが、スラッシュに続いてバックスラッシュが付くパス（例：/\example.com）を拒否しませんでした。一部のブラウザはURL内のバックスラッシュをスラッシュに正規化するため、これがスキーム相対の外部ナビゲーションターゲットになる可能性があります。さらに、生成されたhrefは再構築されたURLに元のURLを連結しており、不安全または不正なリンクが生成される可能性を高めていました。攻撃者がダッシュボードのボタンURLを設定または操作できる場合、アプリケーション内部を指しているように見えるボタンを作成し、クリック時にユーザーを攻撃者管理下のサイトにリダイレクトさせることが可能です。これによって、フィッシングや資格情報の窃取、ソーシャルエンジニアリングが発生する恐れがあります。本修正では、空のパスおよび/\で始まるパスを拒否し、アンカータグのhrefには再構築された検証済みのURLのみを出力することで問題を解決しています。

MISP

• MISP 2.5.39 未満

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. オープンリダイレクト(CWE-601) [その他]

1. CVE-2026-10856

1. National Vulnerability Database (NVD) : CVE-2026-10856
2. 関連文書 : fix: [security] follow up fix to earlier button fix  MISP/MISP@f879f16  GitHub

• [2026年06月09日]
    掲載