CVE-2026-73155 in cti-transmute
Resumen
por VulDB • 2026-08-11
Las versiones afectadas de cti-transmute permiten a los usuarios autenticados agregar o eliminar reacciones con emojis en comentarios sin verificar primero si dichos usuarios están autorizados para ver el comentario objetivo.
El controlador react() vulnerable pasaba un comment_id controlado por el atacante directamente a comments_repo.toggle_reaction() después de validar únicamente que la ID existía sintácticamente y que el emoji solicitado estaba permitido. Dado que no se aplicó la visibilidad a nivel de comentario, un usuario que pudiera identificar la ID de un comentario privado o inaccesible podía modificar el estado de las reacciones en dicho comentario a pesar de carecer de permiso para acceder a él.
La corrección recupera el comentario objetivo, rechaza los comentarios faltantes o eliminados, obtiene su conversación asociada y aplica access.can_see_comment(current_user, comment, conversion). Las solicitudes no autorizadas ahora reciben HTTP 403.
If you want to get best quality of vulnerability data, you may have to visit VulDB.