CVE-2026-86351
Açıklama
MISP'nin etkilenen sürümleri, kullanıcı tarafından yapılandırılabilen ana sayfayı yalnızca sağlanan yolun / ile başlayıp başlamadığını kontrol ederek doğrulamaktadır. Bu kontrol yetersizdir çünkü //attacker.example gibi protokole göreceli URL'ler de / ile başlar ancak tarayıcılarda harici bir kaynağa çözümlenir. Hassas ana sayfa değeri bir kullanıcı ayarı olarak saklanabilir ve daha sonra giriş sonrası yönlendirme mantığı tarafından kullanılabilir. İlgili commit, //attacker.example ifadesini doğrulamadan geçen ve girişten sonra Location üstbilgisine aktarılan bir yük (payload) olarak açıkça tanımlamaktadır. Düzeltme; host, şema, kullanıcı bilgileri, güvensiz başlangıç // veya /\ karakterleri, hatalı biçimlendirilmiş URL'ler ve kontrol karakterleri içeren URL'leri reddeden ortak bir InternalRedirectValidator eklemektedir. Ayrıca, eski veya dahili olarak yazılmış güvensiz değerlerin yeni depolama zamanı doğrulamasını atlayamaması için ana sayfa ayarları okuma sırasında yeniden doğrulanmaktadır. Etkilenen sürüm: ≤2.5.45
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| misp-project misp | v ≤ 2.5.45 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.