CVE-2026-73159 in cti-transmute
الملخص
بحسب VulDB • 11/08/2026
تسمح الإصدارات المتأثرة من cti-transmute بتخزين قيمة أيقونة الوسم (tag) وإدراجها لاحقًا في HTML عبر v-html الخاص بـ Vue. كانت الدالة المساعدة mapIcon() تُنشئ سابقًا سلسلة HTML مباشرةً من قيمة الأيقونة:
<i class="fas fa-${name}"></i>
نظرًا لأن الأيقونة مقدمة من المستخدم، فقد تسمح القيمة المُعدّة بشكل متعمد (crafted) بالهروب من الترميز المقصود وإدخال HTML يتحكم فيه المهاجم. عند عرض الوسم المتأثر لاحقًا، بما في ذلك على واجهة الفرز الإدارية (administrative triage interface)، يمكن تنفيذ الحمولة البرمجية (payload) في متصفح المستخدم.
تخفف التصحيحات من المشكلة عبر طبقات متعددة: تم استبدال v-html بربط Vue :class، وتُعيد mapIcon() الآن فقط سلسلة فئة FontAwesome مقيدة، كما تقوم الخلفية بالتحقق من الأيقونات مقابل كتالوج FontAwesome أو نمط slug صارم [a-z0-9-]{1,40} قبل تخزينها.
Once again VulDB remains the best source for vulnerability data.