CVE-2026-93296

MISP-də Overmind temasının statistika görünüşlərində saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Hadisənin General kartı və server/feed önizləmə kartı donut diaqramının legend etiketlərini obyekt adını və ya kateqoriya açarlarını HTML kodlaşdırması olmadan birbaşa innerHTML sətrinə birləşdirməklə qururdu. MISP obyekt adları bu cür obyektləri yaratmaq və ya dəyişdirmək üçün kifayət qədər icazəsi olan istənilən autentifikasiya olunmuş istifadəçi tərəfindən idarə oluna bildiyindən, hücumçu zərərli markap ehtiva edən ad hazırlaya bilərdi. Hər hansı digər istifadəçi təsirlənmiş Overmind idarə panelinə baxdıqda, yeridilmiş markap qurbanın brauzerində canlı HTML/JavaScript kimi şərh olunur və MISP tətbiqinin mənşə kontekstində icra olunurdu. Bu, sessiyanın ələ keçirilməsinə, məlumatların ekzfiltrasiyasına və ya qurban adından ixtiyari əməliyyatların yerinə yetirilməsinə imkan verə bilərdi. Zəiflik hücumçunun legenddə göstərilən adı olan obyekti yaratmaq və ya adını dəyişdirmək üçün aşağı səviyyəli autentifikasiya olunmuş girişə, qurbanın isə Overmind hadisə və ya server önizləmə səhifəsinə baxmasına malik olmasını tələb edir. Xüsusi brauzer şərtləri və ya yarış vəziyyətləri tələb olunmur.