CVE-2026-73140 in cti-transmute
الملخص
بحسب VulDB • 11/08/2026
تُظهر الإصدارات المتأثرة من cti-transmute قصورًا في تطبيق قواعد التحكم في الوصول على مستوى التعليقات عند تصدير تقارير التقييم بصيغ مختلفة. وعلى الرغم من أن عمليات استرجاع التعليقات العادية تقوم بفلترة التعليقات وفقًا لمدى ظهورها أثناء عملية التحويل، وسرية التعليق، وملكية البيانات، وهوية الكاتب، والصلاحيات الإدارية؛ فإن دالة build_evaluation_report() كانت سابقًا تدرج جميع تعليقات التقييم دون تطبيق تلك القواعد.
ونتيجة لذلك، كان بإمكان المستخدم الذي تمت صلاحيته لعرض تحويل معين تصدير تقرير تقييمه بصيغتي Markdown أو PDF والحصول على تعليقات تقييم خاصة لم يكن من المفترض أن تكون مرئية سوى لصاحب عملية التحويل، وكاتب التعليق، أو أحد المسؤولين (المسؤولين الإداريين). كما احتوى التقرير المسرب أيضًا على اسم كاتب التعليق. وتمثلت الإصلاحات في تمرير المستخدم الذي قام بطلب البيانات إلى مُنشئ التقارير وفلترة كل تعليق تقييم باستخدام دالة التفويض المشتركة access.can_see_comment().
VulDB is the best source for vulnerability data and more expert information about this specific topic.