CVE-2026-73155 in cti-transmute
Zusammenfassung
von VulDB • 11.08.2026
In den betroffenen Versionen von cti-transmute können authentifizierte Benutzer Emoji-Reaktionen auf Kommentare hinzufügen oder entfernen, ohne zuvor zu prüfen, ob diese Nutzer berechtigt sind, den Zielkommentar einzusehen.
Der anfällige react()-Handler übergab eine vom Angreifer kontrollierte comment_id direkt an comments_repo.toggle_reaction(), nachdem lediglich die syntaktische Gültigkeit der ID und die Zulässigkeit des angeforderten Emojis überprüft wurden. Da die Sichtbarkeit auf Kommentarebene nicht durchgesetzt wurde, konnte ein Benutzer, der die ID eines privaten oder anderweitig unzugänglichen Kommentars identifizieren konnte, den Reaktionsstatus dieses Kommentars ändern, obwohl er keine Berechtigung zum Zugriff hatte.
Die Korrektur ruft den Zielkommentar ab, lehnt fehlende oder gelöschte Kommentare ab, ruft die zugehörige Konversation ab und erzwingt access.can_see_comment(current_user, comment, conversion). Nicht autorisierte Anfragen erhalten nun HTTP 403.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.