CVE-2026-94277
Açıklama
MISP'nin galaxy matrix istatistikleri görünümü (app/View/Users/statistics_galaxymatrix.ctp), galaxy adını herhangi bir HTML kodlaması yapmadan sprintf() aracılığıyla doğrudan HTML çıktısına aktarmaktadır. perm_galaxy_editor iznine sahip kimliği doğrulanmış bir kullanıcı, adı rastgele HTML veya JavaScript işaretlemeleri içeren bir galaxy oluşturabilir veya değiştirebilir. Değer sayfaya olduğu gibi yerleştirildiği için, daha sonra galaxy matrix istatistikleri sayfasını açan herhangi bir kullanıcının tarayıcı bağlamında gömülü betik çalıştırılacaktır. Bu durum; oturum çalma, kimlik bilgisi hırsızlığı, veri sızdırma veya kurban adına MISP uygulaması içinde rastgele işlemler gerçekleştirilmesine olanak tanır. Etkilenen versiyon: <2.5.47
Nasıl düzeltilir
- MISP MISP2.5.47 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| MISP MISP | v < 2.5.47 | 2.5.47 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.