CVE-2026-103664

MISP-də analitik məlumat qeydləri panelində əks olunmuş saytlararası skriptinq (XSS) zəifliyi mövcuddur. İstifadəçi tərəfindən URL vasitəsilə təmin edilən seed yol parametri, heç bir təmizləmə və ya tip məhdudiyyəti olmadan render edilmiş HTML cavabı daxilindəki sətir içi JavaScript-ə birbaşa ötürülmüşdür. Autentifikasiya olunmuş MISP istifadəçisini xüsusi hazırlanmış URL-ə (məsələn, fişinq linki vasitəsilə) yönləndirməyi bacaran hücumçu, qurbanın brauzer kontekstində icra olunan ixtiyari JavaScript kodu yerləşdirə bilər. Bu, hücumçuya sessiya tokenlərini oxumağa, səhifəni manipulyasiya etməyə və ya qurban adına hərəkətlər yerinə yetirməyə imkan verə bilər. İlkin şərtlər: - Qurban MISP-də autentifikasiya olunmalı və atribut və ya obyekt üçün analitik məlumat görünüşünə daxil olmalıdır. - Hücumçu URL yolunda zərərli seed dəyəri təqdim etməlidir. Təsir: - Qurbanın brauzer sessiyasında ixtiyari JavaScript kodunun icrası. - Sessiya etibarlılıq məlumatlarının və ya səhifədə görünən həssas məlumatların potensial oğurluğu. - Analitik məlumat interfeysinin manipulyasiyası. Təsirə məruz qalan versiyalar: Düzəlişdən əvvəlki MISP versiyaları (commit 58925dbf0, v2.5.48-dən sonrakı).