JVNDB-2026-033101

MISP projectのMalware Information Sharing Platform (MISP)における複数の脆弱性

MISPのダッシュボードButtonWidgetの設定には、永続的に安全でないURLインジェクションの脆弱性が存在します。ダッシュボードウィジェットのURLは、ウィジェットがレンダリングされる際にのみ検証されており、設定が保存される際には検証されていませんでした。その結果、ダッシュボードウィジェット設定を変更できる認証ユーザーは、javascript:スキームを含む任意のURL値をダッシュボードの設定永続化パスのいずれかを通じて永続化することが可能でした。ダッシュボードのボタンに保存された悪意のあるjavascript: URLは、既存のランタイム検証を経ずにレンダリングまたはナビゲーションのパスに到達した場合、MISPのセキュリティコンテキストでクライアントサイドスクリプトを実行させる可能性があります。こうした実行によって、攻撃者は影響を受けたユーザーの権限で操作を行ったり、そのMISPセッションで利用可能な情報にアクセスしたりできるようになります。実際の悪用の可能性は、MISPがすでにレンダー時にURL検証を適用しており、既知の悪意のある値はユーザーに提示される前に無効化されているため低減されています。したがって、この脆弱性は永続化レイヤーにおける検証ギャップおよび多層防御の弱点を示しており、既存のレンダリング保護を直接的に回避した証拠ではありません。修正では、正規のURLスキーマタイプを導入し、いずれかの設定保存メカニズムで永続化される前にダッシュボードウィジェット設定を検証します。ButtonWidgetのURLは、現在のMISPインスタンス上の絶対パスまたは同一オリジンの完全なURLに解決される文字列でなければなりません。javascript:、外部オリジン、誤ったURL形式、および文字列以外の値は保存時に拒否されます。

MISP project

• Malware Information Sharing Platform (MISP) 2.5.46 未満

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 不適切な入力確認(CWE-20) [その他]
2. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-85230

1. National Vulnerability Database (NVD) : CVE-2026-85230
2. 関連文書 : fix: [security] Validate dashboard widget URLs at save time, not only…  MISP/MISP@f04b100  GitHub

• [2026年09月11日]
    掲載