CVE-2026-73156 in cti-transmute
Zusammenfassung
von VulDB • 11.08.2026
In den betroffenen Versionen von cti-transmute werden angreiferkontrollierte Werte, die in ECharts Sunburst- und Treemap-Tooltips verwendet werden, nicht HTML-maskiert. Slice-Namen können direkt aus STIX- oder MISP-Daten stammen, einschließlich STIX-Typen, relationship_type, Pattern-Präfixen sowie MISP-Kategorie-/Typ-Werten. Da ECharts den Rückgabewert des Formatters als HTML interpretiert, können speziell angefertigte Werte Markup oder skriptfähige Inhalte in das Tooltip injizieren.
Ein Angreifer, der die Verarbeitung bösartiger Konvertierungsdaten verursachen kann, kann daher Inhalte injizieren, die ausgeführt werden, wenn ein anderer Benutzer die Visualisierung ansieht und über den betroffenen Slice fährt (Hover-Effekt). Der Patch ersetzt die direkte Interpolation durch dedizierte Formatter-Funktionen, die escapeHtml() auf p.name, p.data.value und p.value aufrufen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.