CVE-2026-53693

MISP BSimVis teqlərinin render edilməsi kodunda saxlanılan saytlararası skriptinq (stored XSS) zəifliyi aşkar edilmişdir. Bir neçə klient tərəfli render yolu teq adlarını, kolleksiya adlarını, entitet identifikatorlarını, klaster adlarını və teq metadata məlumatlarını kontekstə uyğun escape edilmədən birbaşa HTML-ə, HTML atributlarına, sətir daxili JavaScript hadisə idarəedicilərinə və CSS stil dəyərlərinə yerləşdirirdi. Yamaq HTML, atributlar, JavaScript sətirləri üçün ortaq escape köməkçiləri və CSS rəng validasiyasını əlavə edir, daha sonra onları teq nişanlarına, tooltip-lərə, kontekst menyularına, klaster kartlarına, avtomatik tamamlama təkliflərinə və dinamik olaraq daxil edilmiş teq kartlarına tətbiq edir. Saxlanılan teq və ya metadata dəyərlərini yaratmaq və ya onlara təsir etmək imkanı olan hücumçu, daha sonra digər istifadəçinin brauzerində render edilən xüsusi hazırlanmış faylları (payload) inyeksiya edə bilər. Uğurlu istismar, zərərçəkmiş istifadəçi təsirlənmiş BSimVis səhifələrinə baxdıqda onun sessiyasında ixtiyari JavaScript kodunun icrasına şərait yarada bilər ki, bu da hücumçuya qurban adına hərəkətlər etməyə, qurbana əlçatan olan məlumatları oxumağa və ya tətbiqin göstərilən məzmununu dəyişdirməyə imkan verir. Bu problem MISP bsimvis: v0.2.0 versiyadək olan versiyalara təsir edir.