CVE-2026-103321

MISP, olay grafiği önizleme özelliğinde saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Olay grafiği önizleme görüntü alanı, sunucu tarafında herhangi bir doğrulama yapılmadan kabul edilmekte ve saklanmaktaydı. İstemci tarafında ise saklanan değer, dize birleştirme yoluyla bir HTML img öğesinin src özniteliğine yerleştirilmekteydi; bu durum, özel olarak hazırlanmış bir değerin öznitelik bağlamından çıkmasına ve rastgele betikler enjekte etmesine olanak tanımaktaydı. Ön Koşullar: - Olay grafiği girişi oluşturma veya değiştirme yetkisine sahip kimliği doğrulanmış bir MISP kullanıcısı. - Olay grafiğini görüntüleyen ve önizleme açılır penceresini tetikleyen ikinci bir kullanıcı (kurban). Etki: - Kurbanın tarayıcısında, MISP uygulama bağlamı içerisinde rastgele JavaScript yürütülmesi. - Oturum belirteçlerinin, çerezlerin veya kurbanın tarayıcısı tarafından erişilebilen hassas verilerin potansiyel çalınması. - MISP uygulaması içerisinde kurban adına işlemler gerçekleştirme potansiyeli. Etkilenenler: Düzeltmeden önceki MISP sürümleri (v2.5.48 sonrası uygulanan commit).