CVE-2026-104900

MISP, uzak olay önizlemesinin dizin tablosu oluşturma işleminde saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Sayım alanı şablonu ilgili bağlantı URL'sini kaçırmış ancak alan değerini HTML kodlaması olmadan işlemiştir. Bağlantılı (uzak) bir MISP sunucusunda olay oluşturma veya değiştirme yetkisine sahip bir saldırgan, HTML veya JavaScript işaretlemeleri içeren bir olay tanımlayıcısı hazırlayabilir. Yerel MISP örneğindeki bir kullanıcı uzak olay önizleme dizinine baktığında, kaçırılmamış değer doğrudan tarayıcıda işlenir ve bu durum mağdurun oturumunda rastgele betik çalıştırılmasına olanak tanır. Ön koşullar: - Bağlantılı/uzak bir MISP sunucusu yapılandırılmış ve yerel örneğe bağlanmıştır. - Saldırgan, bağlantılı sunucuda hazırlanmış bir tanımlayıcıya sahip bir olay oluşturmak veya değiştirmek için yeterli erişime sahiptir. - Yerel örnekteki bir mağdur kullanıcı, uzak olay önizleme dizin sayfasını görüntüler. Etki: - MISP web uygulaması bağlamında rastgele JavaScript çalıştırılması. - Potansiyel oturum çalma, veri sızdırma veya kimliği doğrulanmış kullanıcı adına yetkisiz işlemler gerçekleştirilmesi. Etkilenen versiyonlar: <2.5.48.