CVE-2026-95682

MISP-də admin e-poçt tərtib etmə ekranında saxlanılan saytlararası skriptinq (XSS) boşluğu mövcuddur. MISP.org təşkilat adı parametri, escape edilməmiş PHP echo vasitəsilə birbaşa JavaScript sətir literalına daxil edilmişdir: var org = "<?php echo $org;?>";. Dəyər heç bir kodlaşdırma olmadan qoşa dırnaq daxilindəki JavaScript sətrinə yerləşdirildiyi üçün, tərkibində qoşa dırnaq simvolu (və ya geri slash) olan təşkilat adı sətir literalını sonlandıra və səhifəyə ixtiyari JavaScript kodu inyeksiya edə bilər. İnyeksiya edilmiş skript, daha sonra admin e-poçt səhifəsini yükləyən hər hansı autentifikasiya olunmuş istifadəçinin kontekstində icra olunacaqdır ki, bu da sessiyanın ələ keçirilməsinə, məlumatların sızdırılmasına və ya qurban adına imtiyazlı əməliyyatların yerinə yetirilməsinə şərait yarada bilər. Boşluğun istismarı üçün MISP.org təşkilat adını təyin etmək və ya dəyişdirmək imkanı, həmçinin təsirlənən admin e-poçt görünüşünü ziyarət edən ikinci bir autentifikasiya olunmuş istifadəçi tələb olunur. Bu boşluq, JavaScript kontekstində çıxış kodlaşdırmasının kifayət etməməsinin klassik nümunəsidir.