CVE-2026-104907

MISP uzaq hadisələrin önizləmə səhifəsində saytlararası skriptinq (XSS) boşluğuna malikdir. Bağlı (uzaq) MISP serveri konfiqurasiya edildikdə, hadisənin önizləməsi teq identifikatorlarını daxili JavaScript onclick atributu daxilində render edir. Teq ID dəyəri HTML-escape edilsə də, JavaScript sətir konteksti üçün təmizlənməmişdir; bu o deməkdir ki, zərərli bağlı server JavaScript sətir literalından çıxan və ixtiyari skript inyeksiya edən simvollar (məsələn, tək dırnaq) ehtiva edən teq ID təmin edə bilər. İlkin şərtlər: - Bağlı/uzaq MISP serveri konfiqurasiya edilmiş və lokal instansiya ilə əlaqələndirilmişdir. - Bağlı server bir hadisədə xüsusi hazırlanmış teq ID təmin edir. - Autentifikasiya olunmuş istifadəçi hadisənin önizləməsinə baxır və təsirə məruz qalan teq elementi ilə qarşılıqlı əlaqəyə girir. Təsir: - Baxan istifadəçinin brauzer sessiyası kontekstində ixtiyari JavaScript kodunun icrası, bu da potensial olaraq sessiyanın ələ keçirilməsinə, məlumatların sızdırılmasına və ya istifadəçi adından icazəsiz hərəkətlərin edilməsinə imkan verir. Təsirə məruz qalan versiyalar: Düzəliş commit-indən əvvəlki MISP versiyaları (v2.5.48 və ya daha yeni, dəqiq sərhəd təsdiqlənməyib).