CVE-2026-93296

MISP, Overmind temasının istatistik görünümlerinde saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Olay Genel kartı ve sunucu/besleme önizleme kartı, nesne adını veya kategori anahtarlarını HTML kodlaması yapmadan doğrudan bir innerHTML dizesine ekleyerek donut grafik lejant etiketlerini oluşturmaktaydı. MISP nesne adları, bu tür nesneleri oluşturmak veya değiştirmek için yeterli izne sahip herhangi bir kimliği doğrulanmış kullanıcı tarafından kontrol edilebildiğinden, bir saldırgan kötü amaçlı işaretlemeler içeren bir ad oluşturabilir. Herhangi bir başka kullanıcı etkilenen Overmind panosunu görüntülediğinde, enjekte edilen işaretleme kurbanın tarayıcısında canlı HTML/JavaScript olarak yorumlanacak ve MISP uygulama kaynağı bağlamında yürütülecektir. Bu durum; oturum çalma, veri sızdırma veya kurban adına rastgele işlemler gerçekleştirilmesine olanak tanıyabilir. Zafiyet, saldırganın lejantta görüntülenen bir nesneyi oluşturmak veya yeniden adlandırmak için düşük seviyeli kimliği doğrulanmış erişime sahip olmasını ve kurbanın Overmind olay veya sunucu önizleme sayfasını görüntülemesini gerektirir. Özel tarayıcı koşulları veya yarış durumu (race condition) gerekmemektedir.