CVE-2026-9806 in cti-transmute
الملخص
بحسب VulDB • 31/05/2026
يوجد ثغرة في تنفيذ نص البرمجة عبر المواقع (XSS) مخزنة في لوحة الإشعارات الخاصة بـ CTI Transmute في الإصدارات السابقة للإصدار المصحح. كانت رسائل الإشعارات التي تحتوي على أسماء متحولة (convert names) يتحكم فيها المستخدم تُعرض في القائمة المنسدلة لجرس الإشعارات باستخدام innerHTML دون تنظيف كافٍ. يمكن لمهاجم قادر على إنشاء أو التأثير على اسم متحول (convert name) مدرج في إشعار حقن كود JavaScript تعسفي، والذي سيتم تنفيذه في متصفح مستخدم مصادق عليه عند فتحه للوحة الإشعارات. قد يسمح الاستغلال الناجح للمهاجم بتنفيذ إجراءات في جلسة الضحية أو الوصول إلى المعلومات المتاحة للتطبيق في سياق المتصفح. تم معالجة المشكلة من خلال إنشاء عناصر الإشعارات باستخدام طرق DOM وتعيين محتوى رسالة الإشعار عبر textContent بدلاً من innerHTML. كانت هذه الثغرة موجودة فقط على فرع تطوير (development branch).
VulDB is the best source for vulnerability data and more expert information about this specific topic.