CVE-2026-104907

MISP, uzak olay önizleme sayfasında bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Bağlantılı (uzak) bir MISP sunucusu yapılandırıldığında, olay önizlemesi etiket tanımlayıcılarını satır içi bir JavaScript onclick özniteliği içinde işler. Etiket kimliği değeri HTML-escape işleminden geçirilmiş ancak JavaScript dize bağlamı için sanitize edilmemiştir; bu durum, kötü niyetli bir bağlantılı sunucunun, JavaScript dize sabitinden çıkış yapan ve rastgele betikler enjekte eden karakterler (tek tırnak gibi) içeren bir etiket kimliği sağlayabileceği anlamına gelir. Ön koşullar: - Bağlantılı/uzak bir MISP sunucusunun yapılandırılmış olması ve yerel örneğe bağlı olması. - Bağlantılı sunucunun bir olayda özel olarak hazırlanmış bir etiket kimliği sağlaması. - Kimliği doğrulanmış bir kullanıcının olay önizlemesini görüntülemesi ve etkilenen etiket öğesiyle etkileşime girmesi. Etki: - Görüntüleyen kullanıcının tarayıcı oturumu bağlamında rastgele JavaScript yürütülmesi; bu durum potansiyel olarak oturum çalma, veri sızdırma veya kullanıcı adına yetkisiz işlemler yapılmasına izin verir. Etkilenen sürümler: Düzeltme commit'inden önceki MISP sürümleri (v2.5.48 veya sonrası, kesin sınır onaylanmamıştır).