CVE-2026-103321

MISP-də hadisə qrafiki önizləmə funksiyasında saxlanılan saytlararası skriptinq (XSS) boşluğu mövcuddur. Hadisə qrafikinin önizləmə şəkli sahəsi server tərəfində təsdiqlənmədən qəbul edilir və saxlanılır. Müştəri tərəfində isə saxlanılan dəyər sətir birləşdirməsi vasitəsilə HTML img elementinin src atributuna yerləşdirilir ki, bu da xüsusi hazırlanmış dəyərin atribut kontekstindən çıxaraq ixtiyari skriptin inyeksiya edilməsinə şərait yaradır. İlkin şərtlər: - Hadisə qrafiki yazısını yaratmaq və ya dəyişdirmək imkanına malik autentifikasiya olunmuş MISP istifadəçisi. - Hadisə qrafikinə baxan və önizləmə pəncərəsini aktivləşdirən ikinci bir istifadəçi (qurban). Təsir: - Qurbanın brauzerində MISP tətbiqi kontekstində ixtiyari JavaScript kodunun icrası. - Sessiya tokenlərinin, kukilərin və ya qurbanın brauzeri üçün əlçatan olan həssas məlumatların potensial oğurluğu. - MISP tətbiqi daxilində qurban adına hərəkətlərin yerinə yetirilməsi ehtimalı. Təsirə məruz qalan versiyalar: Düzəlişdən əvvəlki MISP versiyaları (v2.5.48-dən sonra tətbiq edilmiş commit).