CVE-2026-104900

MISP uzaq hadisə önizləməsinin indeks cədvəlinin render edilməsində saxlanılan saytlararası skriptinq (XSS) boşluğu mövcuddur. Say sahə şablonu əlaqəli keçid URL-ni təmizləmiş (escape), lakin sahə dəyərini HTML kodlaşdırması olmadan render etmişdir. Bağlı (uzaq) MISP serverində hadisələr yaratmaq və ya onları dəyişdirmək imkanı olan hücumçu, HTML və ya JavaScript nişanları ehtiva edən hadisə identifikatoru hazırlaya bilər. Yerli MISP instansiyasındakı istifadəçi uzaq hadisə önizləmə indeksinə baxdıqda, təmizlənməmiş dəyər birbaşa brauzerdə render edilir və bu da qurbanın sessiyasında ixtiyari skriptin icrasına şərait yaradır. İlkin şərtlər: - Bağlı/uzaq MISP serveri konfiqurasiya edilmiş və yerli instansiyaya qoşulmuşdur. - Hücumçunun bağlı serverdə hazırlanmış identifikatora malik hadisə yaratmaq və ya onu dəyişdirmək üçün kifayət qədər girişi var. - Yerli instansiyadakı qurban istifadəçi uzaq hadisə önizləmə indeks səhifəsinə baxır. Təsir: - MISP veb tətbiqi kontekstində ixtiyari JavaScript-in icrası. - Potensial sessiyanın ələ keçirilməsi, məlumat sızması və ya autentifikasiya olunmuş istifadəçi adından icra edilən icazəsiz hərəkətlər. Təsirə məruz qalan versiyalar: <2.5.48.