CVE-2026-85227

MISP, olay öznitelik filtreleme sorgu oluşturucusunda yansıtılmış bir Siteler Arası Betik Çalıştırma (XSS) zafiyeti içermektedir. taggedAttributes ve galaxyAttachedAttributes URL parametreleri, JSON olarak serileştirilmeden ve bir <script> öğesinin içine gömülmeden önce HTML kaçış karakterleri uygulanmadan sorgu oluşturucu kurallarına eklenmiştir. JsonTool::encode() fonksiyonunun JSON_UNESCAPED_SLASHES kullanması nedeniyle, kapatıcı bir </script> dizisi içeren saldırgan kontrollü bir değer, çevreleyen betik öğesini sonlandırabilir ve rastgele HTML veya JavaScript enjekte edebilir. Örneğin, özel olarak hazırlanmış bir viewEventAttributes URL'si, etkilenen filtre parametrelerinden birinde kötü amaçlı içerik barındırabilir. Bir saldırgan, kimliği doğrulanmış bir MISP kullanıcısını hazırlanmış bir URL'yi takip etmeye ikna ederek bu zafiyeti istismar edebilir. Başarılı bir istismar, saldırgan tarafından kontrol edilen JavaScript kodunu, MISP örneğinin güvenlik bağlamında ve kurbanın kimliği doğrulanmış tarayıcı oturumunun ayrıcalıklarıyla çalıştıracaktır. Bu durum; kurbanın erişebildiği bilgilere erişilmesine, kimliği doğrulanmış istekler aracılığıyla verilerin değiştirilmesine veya kurbanın MISP izinlerinin izin verdiği diğer eylemlerin gerçekleştirilmesine olanak tanıyabilir. Zafiyet, skaler ve dizi değerlerinin her ikisine de DOM'a yerleştirilmeden önce h() ile HTML kaçış karakterleri uygulanarak giderilmiştir.