Misp-modules: Offenlegung vertraulicher Informationen (CVE-2026-127046)

Was ist betroffen, was ist zu tun

Die Website-Komponente von MISP Modules enthält eine Informations-Offenlegung-Schwachstelle in der Schnittstelle zur Verwaltung externer Tools. Der /external_tools/list-Endpunkt gab in seiner JSON-Antwort über den ExternalTools-Modell-Serialisator gespeicherte API-Schlüssel (das api_key-Feld) zurück.

Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten.

Betroffen

• Misp-modules lte *..3.1.4

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Die Website-Komponente von MISP Modules enthält eine Informations-Offenlegung-Schwachstelle in der Schnittstelle zur Verwaltung externer Tools. Der /external_tools/list-Endpunkt gab in seiner JSON-Antwort über den ExternalTools-Modell-Serialisator gespeicherte API-Schlüssel (das api_key-Feld) zurück. Darüber hinaus wurde das API-Schlüssel-Eingabefeld im browserbasierten Bearbeitungsformular mit dem gespeicherten Anmeldedatenwert vorbelegt, wodurch er im DOM offengelegt wurde. Der /external_tools/list-Endpunkt ist ohne Authentifizierung zugänglich (die Regressionstests überprüfen die Antwort für sowohl authentifizierte als auch nicht authentifizierte Clients), was bedeutet, dass jeder netzwerkzugängliche Client die API-Schlüssel für alle konfigurierten externen Tools abrufen könnte. Diese Schlüssel werden vom Server verwendet, um Submissions an externe Analyse- oder Bereicherungsdienste zu authentifizieren, sodass ihre Offenlegung es einem Angreifer ermöglicht, sich als MISP-Instanz auszugeben oder direkt auf diese externen Dienste zuzugreifen. Die Schwachstelle betraf auch den Bearbeitungsworkflow: der change_config-Endpunkt erforderte zuvor, dass der API-Schlüssel bei jedem Speichern vorhanden und nicht leer war, was den Schlüssel zwangsläufig durch den Client laufen ließ. Die Browser-JavaScript speicherte den Schlüssel in einem reaktiven Zustandsobjekt und aktualisierte die in-memory-Tool-Liste mit dem Anmeldedatenwert, wodurch die Expositionszeit in der clientseitigen Speicherung und im Netzwerkverkehr weiter erhöht wurde. Betroffene Komponente: die Website-Unteranwendung von MISP Modules, speziell das external_tools-Modul (Serialisator in models.py, Listen-Endpunkt und die external_tools_index.html-Vorlage). Die Auswirkungen sind auf die Vertraulichkeit der gespeicherten API-Schlüssel beschränkt; es wird kein Einfluss auf die Integrität oder Verfügbarkeit der MISP Modules-Website selbst durch das Patch angezeigt.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: cvelistv5, ENISA EUVD, CVE.org (MITRE), NVD (NIST)

Hersteller und Produkte

• MISP Misp-modules

Weakness-Klassen (CWE)

• CWE-200Exposure of Sensitive Information to an Unauthorized Actor

  Class

  The product exposes sensitive information to an actor that is not explicitly authorized to have access to that information.

  Eintrag bei MITRE CWE-200

• CWE-522Insufficiently Protected Credentials

  Class

  The product transmits or stores authentication credentials, but it uses an insecure method that is susceptible to unauthorized interception and/or retrieval.

  Eintrag bei MITRE CWE-522

Quellen & Referenzen

• github.comSecurity patchPatch, euvd
• NVD (NIST)vuln/detail/CVE-2026-127046euvd

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 12.11.2026Neu erfasstCIRCL

   CVSS V4.0: AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: ja

   Schwachstellentyp: CWE-200, CWE-522

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://github.com/MISP/misp-modules/commit/61c27893066cee80d9711649765ebc2bccd0e4af
   7 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	The MISP Modules website component contains an information disclosure vulnerability in the external tools management interface. The /external_tools/list endpoint returned stored API keys (the api_key field) in its JSON response via the ExternalTools model serializer. Additionally, the browser-based edit form pre-populated the API key input field with the stored credential value, exposing it in the DOM. The /external_tools/list endpoint is accessible without authentication (the regression tests verify the response for both authenticated and unauthenticated clients), meaning any network-reachable client could retrieve the API keys for all configured external tools. These keys are used by the server to authenticate submissions to external analysis or enrichment services, so their disclosure allows an attacker to impersonate the MISP instance or directly access those external services. The vulnerability also affected the edit workflow: the change_config endpoint previously required the API key to be present and non-empty on every save, forcing the key to round-trip through the client. The browser JavaScript stored the key in a reactive state object and updated the in-memory tool list with the credential value, further increasing the window of exposure in client-side memory and network traffic. Affected component: the website sub-application of MISP Modules, specifically the external_tools module (serializer in models.py, list endpoint, and the external_tools_index.html template). The impact is limited to confidentiality of the stored API keys; no integrity or availability impact on the MISP Modules website itself is indicated by the patch.
   CVSS	ergänzt	—	AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
   Schwachstellentyp (CWE)	ergänzt	—	CWE-200
   Schwachstellentyp (CWE)	ergänzt	—	CWE-522
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/127xxx/CVE-2026-127046.json">CVE-2026-127046</a>
   Referenz	ergänzt	—	https://github.com/MISP/misp-modules/commit/61c27893066cee80d9711649765ebc2bccd0e4af
   SSVC-Einschätzung	ergänzt	—	{"role":"Supplier","options":[{"exploitation":"none"},{"automatable":"yes"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-11-12T11:59:08Z"}

   Kennung der Quelle: 5a6e4751-2f3f-4070-9419-94fb35b644e8