目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-112184— MISP 工作流模块表单标签反射跨站脚本漏洞

一分钟漏洞结论

影响对象
MISP MISP
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

MISP 的工作流模块接口中存在一个反射型跨站脚本（XSS）漏洞。由 misp-modules 服务返回的参数名称未经输出编码，便以原始 HTML 表单标签的形式渲染在工作流模块页面上。若攻击者能够影响 misp-modules 服务所报告的参数名称，即可注入任意 HTML 或 JavaScript 代码，这些代码将在已认证 MISP 用户的浏览器上下文中执行。 前提条件： 攻击者必须能够控制或影响 misp-modules 服务所报告的参数名称。 受害者必须处于已认证状态，并访问受影响的 workflow 模块页

CVSS 4.8 · Medium
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-112184 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
MISP Workflow Module: Reflected XSS via Unescaped misp-modules Parameter Names in Form Labels
来源: CVE Program / CVE List V5
Vulnerability Description
MISP contains a reflected cross-site scripting (XSS) vulnerability in the workflow module interface. Parameter names returned by the misp-modules service are rendered as raw HTML form labels on the workflow module page without output encoding. An attacker who can influence the parameter names reported by the misp-modules service can inject arbitrary HTML or JavaScript that executes in the context of an authenticated MISP user's browser. Preconditions: - The attacker must be able to control or influence parameter names reported by the misp-modules service. - A victim must be authenticated and view the affected workflow module page. Impact: - Execution of arbitrary JavaScript in the victim's browser session. - Potential theft of session tokens, manipulation of the MISP interface, or initiation of unauthorized actions on behalf of the victim. Affected versions: <2.5.48.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
MISP MISP 0 ~ 2.5.48 cpe:2.3:a:misp:misp:*:*:*:*:*:*:*:*

二、漏洞 CVE-2026-112184 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-112184 的情报信息

请登录查看更多情报信息。

CVE-2026-112184 其他参考 (1)

同批安全公告 · MISP · 2026-10-19 · 共 7 条

CVE-2026-112178 7.1 HIGH MISP 提案 ACL 绕过：阴影属性访问控制漏洞
CVE-2026-112188 7.1 HIGH MISP 分支名称解析敏感配置信息泄露漏洞
CVE-2026-112179 5.3 MEDIUM MISP 事件同步暴露远程实例不可导出标签
CVE-2026-112192 5.3 MEDIUM MISP 模块设置泄露敏感值并允许修改 CLI 配置
CVE-2026-112180 5.1 MEDIUM MISP 事件删除不彻底致敏感记录残留漏洞
CVE-2026-112183 4.8 MEDIUM MISP 事件预览远程标签颜色 CSS 注入漏洞

IV. Related Vulnerabilities

Same product: MISP
Same vendor: MISP
Same weakness: CWE-79

V. Comments for CVE-2026-112184

暂无评论

发表评论