CVE-2026-95661

MISP, öznitelik histogram görünümünde yansıtılmış bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. URL yol segmentinden türetilen $selectedTypes değişkeni, herhangi bir kodlama veya kaçış işlemi uygulanmadan, bir onClick HTML özniteliği içerisindeki bir JavaScript dizi sabitine doğrudan eklenmiştir. Kimliği doğrulanmış bir MISP kullanıcısının kötü amaçlı bir tip değeri içeren hazırlanmış bir URL'yi ziyaret etmesini sağlayabilen bir saldırgan, kurbanın tarayıcısında MISP uygulama kaynağı dahilinde rastgele JavaScript kodu çalıştırabilir. Başarılı bir istismar; saldırganın oturum çerezlerini okumasına, kurban adına işlemler gerçekleştirmesine veya MISP arayüzünden erişilebilen hassas verileri sızdırmasına olanak tanır. Zafiyetin tetiklenmesi için kurbanın kimliğinin doğrulanmış olması ve saldırgan tarafından sağlanan URL'ye aktif olarak gitmesi gerekmektedir.