CVE-2026-104901

MISP-nin ID Translator funksiyasında saytlararası skriptinq (XSS) boşluğu mövcuddur. İstifadəçi ID Translator səhifəsinə baxdıqda, tətbiq müvafiq hadisə identifikatorları üçün əlaqəli (uzaqdakı) MISP serverlərinə sorğu göndərir. Uzaq server tərəfindən qaytarılan hadisə ID-si düzgün çıxış kodlaşdırılması olmadan HTML çıxışında təsvir edilmişdir. Zərərli və ya kompromisə uğramış əlaqəli server ixtiyari HTML və ya JavaScript nişanları ehtiva edən xüsusi hazırlanmış hadisə ID-sini qaytara bilər. Bu nişanlar, ev sahibi təşkilatda ID Translator səhifəsinə baxan istənilən istifadəçinin brauzerində təsvir olunacaq ki, bu da sessiyanın ələ keçirilməsinə, etibarnamələrin oğurlanmasına və ya digər klient tərəfli hücumlara şərait yaradır. İlkin şərtlər: - Qurban ev sahibi MISP instansiyasının autentifikasiya olunmuş istifadəçisi olmalıdır. - Ev sahibi instansiyasında əlaqəli server konfiqurasiya edilmiş olmalıdır. - Qurban konkret bir hadisə üçün ID Translator səhifəsinə daxil olmalıdır. Təsirə məruz qalan versiyalar: <2.5.48.