CVE-2026-10861

MISP UsersController::routeafterlogin() funksiyasında açıq yönləndirmə zəifliyi mövcud idi, çünki pre_login_requested_url sessiya açarında saxlanılan dəyər, onun lokal tətbiq yolu olduğu kifayət qədər yoxlanılmadan daxilolma sonrası yönləndirmə təyinatı kimi istifadə olunurdu. Autentifikasiya olunmamış uzaq hücumçu, qurbanın etibarlı MISP instansiyasına daxil olmasına və uğurlu autentifikasiyadan sonra hücumçunun nəzarətində olan xarici URL-ə yönləndirilməsinə səbəb olacaq link hazırlaya bilərdi. Bu, fişinq hücumlarının inamlılığını artırmaq, istifadəçiləri saxta giriş səhifələrinə yönləndirmək və ya etibarsız domendən hücumçunun nəzarətində olan məzmunu çatdırmaq üçün istismar edilə bilərdi. CWE-601 bu zəifliyi, xarici linki müəyyən edən istifadəçi tərəfindən idarə olunan girişin qəbul edilməsi və onun yönləndirmədə istifadəsi kimi təsvir edir ki, bunun geniş yayılmış nəticəsi fişinqdir. Yamaq, URL-ni dekodlaşdıraraq və analiz edərək, sxemi, hostu, istifadəçi komponenti olan, yolu çatışmayan və ya lokal olmayan URL-ləri, həmçinin //example.com və /\example.com kimi protokola nisbətən formaları rədd etməklə problemi aradan qaldırır.