CVE-2026-54395
Təsvir
MISP-nin UiBeta hadisə indeks görünüşündə əks olunmuş saytlararası skriptinq (XSS) zəifliyi mövcuddur. urlparams dəyəri tək dırnaqlı JavaScript sətiri daxilində HTML escape edilərək inline JavaScript handler-ə yerləşdirilir. Brauzerlər JavaScript analizindən əvvəl atribut dəyərlərini HTML-dekod etdiyi üçün, xüsusi hazırlanmış searcheventinfo dəyəri kodlaşdırılmış dırnaq simvollarını bərpa edə və JavaScript sətrindən çıxa bilər. Hücumçu elə bir zərərli URL hazırlaya bilər ki, bu URL UiBeta hadisə indeksindən istifadə edən qurban tərəfindən açıldıqda, qurbanın brauzerində MISP instansiyasının kontekstində ixtiyari JavaScript kodu icra olunsun. Problem, HTML escape tətbiq edilməzdən əvvəl dəyərin json_encode() vasitəsilə JavaScript sətir literalı kimi kodlaşdırılması ilə həll edilmişdir.
Necə düzəltmək olar
- misp misp2.5.40 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| misp misp | v < 2.5.40 | 2.5.40 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.