¿Qué es y cómo funciona?
El componente de sitio web de MISP Modules contiene una vulnerabilidad de redirección abierta (CWE-601) en su endpoint de inicio de sesión. La ruta /login aceptaba un parámetro de consulta next proporcionado por el usuario y lo pasaba directamente a la función redirect() de Flask sin validar el destino.
Un atacante podría crear una URL como https://servidor-victima/login?next=https://atacante.ejemplo/phish y enviarla a un usuario. Después de que la víctima se autenticara exitosamente en MISP Modules, la aplicación emitiría una redirección 302 a la URL externa controlada por el atacante.
Impacto y riesgo
Esta falla habilita ataques de phishing donde un usuario, creyendo que aún está en el sitio legítimo de MISP Modules, podría ingresar credenciales adicionales o información sensible en la página del atacante. También puede usarse para ocultar el verdadero destino de un enlace, eludiendo la confianza del usuario en el dominio legítimo.
La explotación requiere que la víctima interactúe con la URL manipulada y complete un inicio de sesión. Según los datos disponibles, la probabilidad de explotación en los próximos 30 días (EPSS) es del 0.3% (percentil 27%). No hay hosts indexados en Shodan con esta vulnerabilidad detectada, lo que sugiere una exposición limitada en internet. INCIBE-CERT (España) clasifica la severidad como P.
Productos afectados
El componente afectado es el subproyecto de sitio web (website) de misp-modules, específicamente el blueprint de cuentas en website/app/account/account.py. El contexto no especifica límites de versiones afectadas.
| CVE | CVE-2026-128637 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.3% en 30 días (percentil 27) |
| CWE | CWE-601 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |