CVE-2026-104901

MISP, ID Translator özelliğinde bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Bir kullanıcı ID Translator sayfasını görüntülediğinde, uygulama ilgili olay tanımlayıcıları için bağlantılı (uzak) MISP sunucularına sorgu gönderir. Uzak sunucu tarafından döndürülen olay kimliği (event ID), uygun çıktı kodlaması yapılmadan HTML çıktısında işlenmektedir. Kötü niyetli veya ele geçirilmiş bir bağlantılı sunucu, rastgele HTML veya JavaScript işaretlemeleri içeren hazırlanmış bir olay kimliği döndürebilir. Bu işaretleme, ana kuruluştaki ID Translator sayfasını görüntüleyen herhangi bir kullanıcının tarayıcısında çalıştırılarak oturum çalma, kimlik bilgisi hırsızlığı veya diğer istemci tarafı saldırılarına olanak tanır. Ön koşullar: - Mağdurun, ana MISP örneğinin kimliği doğrulanmış bir kullanıcısı olması gerekir. - Ana örnek üzerinde yapılandırılmış bir bağlantılı sunucu bulunmalıdır. - Mağdurun, belirli bir olay için ID Translator sayfasına gitmesi gerekir. Etkilenen versiyonlar: <2.5.48.