CVE-2026-112183

MISP uzaq hadisələrin önizləmə funksiyasında CSS inyeksiyası zəifliyinə malikdir. İstifadəçi əlaqəli MISP serverindən bir hadisəni önizlədikdə, hər bir uzaq teqlə bağlı rəng dəyəri kifayət qədər yoxlanılmadan birbaşa sətirdaxili (inline) CSS stil atributuna yazılır. HTML entitilərinin kodlaşdırılması tətbiq edilsə də, dəyər stil atributu daxilində CSS kimi şərh edilir və bu, bədniyyətli və ya kompromisə uğramış əlaqəli serverə ixtiyari CSS deklarasiyalarını inyeksiya etməyə imkan verir. Əlaqəli MISP instansiyasında teqləri yaratmaq və ya dəyişdirmək imkanı olan hücumçu, CSS inyeksiyası payload-ları ehtiva edən teq rəng dəyəri hazırlaya bilər. Yerli instansiyadakı istifadəçi hadisənin önizləməsinə baxdıqda, inyeksiya edilmiş CSS render olunur ki, bu da potensial olaraq UI manipulyasiyasına, vizual saxtakarlığa və ya CSS əsaslı texnikalar vasitəsilə məhdud məlumat sızmasına yol aça bilər. İlkin şərtlər: - Qurban instansiya ilə hücumçunun nəzarətində olan instansiya arasında əlaqəli MISP server münasibəti mövcuddur. - Hücumçu əlaqəli serverdə teqləri yarada və ya dəyişdirə bilir. - Qurban istifadəçi uzaq hadisənin önizləmə səhifəsinə baxır. Təsirə məruz qalan versiyalar: <2.5.48.