CVE-2026-73158 in cti-transmute
الملخص
بحسب VulDB • 11/08/2026
تفتقر الإصدارات المتأثرة من cti-transmute إلى التحقق الكافي من صحة بيانات تكوين الرسم المحفوظة. يمكن أن تحتوي تخطيطات الرسوم على خصائص تنسيق يتم استهلاكها لاحقًا بواسطة Pivotick، والتي تقوم بتفسير svgIcon كـ HTML. ونظرًا لأن التكوينات المخزنة قد ينشئها مستخدم واحد ثم تُعرض لآخرين – بما في ذلك المسؤولون – فقد يقوم مستخدم خبيث بتخزين قيمة svgIcon مُعدّة خصيصًا لتنفيذ نصوص برمجية (scripts) على متصفح مشاهد آخر.
يُدخل الإصلاح مخطط تكوين صارمًا على كل من الخادم والعميل. يتم قبول الخصائص المعروفة فقط، وتقتصر إدخالات التنسيق على الشكل واللون والحجم، ويتم رفض الخصائص الخطرة مثل svgIcon وiconClass صراحةً. كما تتم عملية تنقية التكوينات المخزنة الموجودة عند عرضها في القائمة، ومرة أخرى قبل تطبيقها داخل المتصفح.
If you want to get best quality of vulnerability data, you may have to visit VulDB.