CVE-2026-10861

MISP UsersController::routeafterlogin() fonksiyonunda, pre_login_requested_url oturum anahtarında saklanan değerin yerel bir uygulama yolu olduğu yeterince denetlenmeden giriş sonrası yönlendirme hedefi olarak kullanılması nedeniyle bir açık yönlendirme (open redirect) zafiyeti mevcuttu. Kimlik doğrulaması yapmamış uzaktan bir saldırgan, kurbanın güvenilir bir MISP örneğini ziyaret etmesini sağlayan ve başarılı kimlik doğrulamasının ardından saldırgan tarafından kontrol edilen harici bir URL'ye yönlendirildiği bir bağlantı oluşturabilir. Bu durum; oltalama saldırılarının inandırıcılığını artırmak, kullanıcıları sahte giriş sayfalarına yönlendirmek veya güvenilmeyen bir etki alanından saldırgan kontrollü içerikler sunmak için kötüye kullanılabilir. CWE-601 bu zayıflığı, harici bir bağlantı belirten kullanıcı kontrollü girdinin kabul edilmesi ve bunun bir yönlendirmede kullanılması olarak tanımlamakta ve yaygın bir sonucu olarak oltalama saldırılarını göstermektedir. Yama; URL'yi çözüp ayrıştırarak şema, ana bilgisayar (host), kullanıcı bileşeni içeren, yolu eksik olan veya yerel olmayan URL'leri ve //example.com ile /\example.com gibi protokole göreceli formları reddederek sorunu gidermektedir.