CVE-2026-95682

MISP, yönetici e-posta oluşturma ekranında saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. MISP.org organizasyon adı ayarı, kaçış karakterleri kullanılmamış bir PHP echo aracılığıyla doğrudan bir JavaScript dize sabitine yerleştirilmiştir: var org = "<?php echo $org;?>";. Değer, herhangi bir kodlama yapılmadan çift tırnaklı bir JavaScript dizesinin içine yerleştirildiği için, çift tırnak karakteri (veya ters eğik çizgi) içeren bir organizasyon adı, dize sabitini sonlandırabilir ve sayfaya rastgele JavaScript kodu enjekte edebilir. Enjekte edilen betik, daha sonra yönetici e-posta sayfasını yükleyen herhangi bir kimliği doğrulanmış kullanıcının bağlamında çalışacak; bu da potansiyel olarak oturum çalma, veri sızdırma veya kurban adına ayrıcalıklı işlemler gerçekleştirilmesine olanak tanıyacaktır. İstismar edilmesi, MISP.org organizasyon adını ayarlama veya değiştirme yeteneği ile etkilenen yönetici e-posta görünümünü ziyaret eden ikinci bir kimliği doğrulanmış kullanıcı gerektirir. Bu zafiyet, JavaScript bağlamında yetersiz çıktı kodlamasının klasik bir örneğidir.