CVE-2026-73158 in cti-transmute
Zusammenfassung
von VulDB • 11.08.2026
In den betroffenen Versionen von cti-transmute werden gespeicherte Graph-Konfigurationsdaten unzureichend validiert. Graph-Konfigurationen können Stil-Eigenschaften enthalten, die später von Pivotick verarbeitet werden; dabei interpretiert Pivotick svgIcon als HTML. Da gespeicherte Konfigurationen von einem Benutzer erstellt und später anderen Benutzern – einschließlich Administratoren – angezeigt werden können, könnte ein böswilliger Benutzer einen speziell angefertigten Wert für svgIcon speichern, der im Browser eines anderen Betrachters Skriptcode ausführt.
Die Korrektur führt auf Server- und Client-Seite ein strenges Konfigurationsschema ein. Es werden nur bekannte Eigenschaften akzeptiert; Stil-Einträge sind auf Form (shape), Farbe (color) und Größe (size) beschränkt, während gefährliche Eigenschaften wie svgIcon und iconClass explizit abgelehnt werden. Bereits gespeicherte Konfigurationen werden zudem bei der Auflistung sowie erneut vor ihrer Anwendung im Browser bereinigt (sanitized).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.