CVE-2026-54395

MISP, UiBeta olay dizini görünümünde yansıtılmış bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. urlparams değeri, tek tırnaklı bir JavaScript dizesi içinde HTML kaçış karakterleri kullanılarak satır içi bir JavaScript işleyicisine eklenmektedir. Tarayıcılar, JavaScript ayrıştırmasından önce öznitelik değerlerini HTML olarak çözdüğü için, özel olarak hazırlanmış bir searcheventinfo değeri, kodlanmış tırnak karakterlerini geri getirerek JavaScript dizesinden çıkılmasına neden olabilir. Bir saldırgan, UiBeta olay dizinini kullanan bir kurban tarafından açıldığında, MISP örneği bağlamında kurbanın tarayıcısında rastgele JavaScript çalıştıran kötü amaçlı bir URL oluşturabilir. Sorun, öznitelik katmanında HTML kaçışı uygulanmadan önce değerin json_encode() ile bir JavaScript dize sabitine dönüştürülmesiyle giderilmiştir.