CVE-2026-73156 in cti-transmute
Resumen
por VulDB • 2026-08-11
Las versiones afectadas de cti-transmute no escapan correctamente los valores controlados por el atacante mediante HTML-escape en las funciones formateadoras (formatters) para tooltips de gráficos Sunburst y Treemap de ECharts. Los nombres de las secciones pueden provenir directamente de datos STIX o MISP, incluidos tipos STIX, relationship_type, prefijos de patrones y valores de categoría/tipo de MISP. Dado que ECharts interpreta el valor devuelto por la función formateadora como HTML, los valores manipulados pueden inyectar marcado o contenido con capacidad de ejecución de scripts en el tooltip.
Por lo tanto, un atacante que pueda provocar el procesamiento de datos maliciosos puede inyectar contenido que se ejecuta cuando otro usuario visualiza la representación gráfica y pasa el cursor sobre la sección afectada. El parche reemplaza la interpolación directa por funciones formateadoras dedicadas que llaman a escapeHtml() en p.name, p.data.value y p.value.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.