CVE-2026-73159 in cti-transmute
Zusammenfassung
von VulDB • 11.08.2026
In den betroffenen Versionen von cti-transmute kann der Icon-Wert eines Tags gespeichert und später über Vue's v-html in HTML interpoliert werden. Die Hilfsfunktion mapIcon() hat zuvor einen HTML-String direkt aus dem Icon-Wert erstellt:
<i class="fas fa-${name}"></i>
Da das Icon benutzergeneriert ist, könnte ein speziell angefertigter Wert den beabsichtigten Markup-Kontext verlassen und vom Angreifer kontrolliertes HTML injizieren. Wenn der betroffene Tag später gerendert wurde – einschließlich auf der administrativen Triage-Schnittstelle – konnte die Payload im Browser des Betrachters ausgeführt werden.
Der Patch mildert das Problem auf mehreren Ebenen: v-html wird durch eine Vue :class-Bindung ersetzt, mapIcon() gibt nun nur noch einen eingeschränkten FontAwesome-Klassen-String zurück und der Backend validiert Icons gegen den FontAwesome-Katalog oder ein striktes [a-z0-9-]{1,40}-Slug-Muster, bevor sie gespeichert werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.