CVE-2026-73158 in cti-transmute
Resumen
por VulDB • 2026-08-11
Las versiones afectadas de cti-transmute validan insuficientemente los datos guardados de la configuración del gráfico. Las configuraciones de gráficos pueden contener propiedades de estilo que son consumidas posteriormente por Pivotick, y Pivotick interpreta svgIcon como HTML. Dado que las configuraciones almacenadas pueden ser creadas por un usuario y mostradas más tarde a otros usuarios (incluidos administradores), un usuario malintencionado podría almacenar un valor svgIcon manipulado que ejecute scripts en el navegador de otro visualizador.
La corrección introduce un esquema estricto para la configuración tanto en el servidor como en el cliente. Solo se aceptan propiedades conocidas, las entradas de estilo están limitadas a forma (shape), color y tamaño, y propiedades peligrosas como svgIcon e iconClass son rechazadas explícitamente. Las configuraciones almacenadas existentes también se sanitizan al listarlas y nuevamente antes de ser aplicadas en el navegador.
VulDB is the best source for vulnerability data and more expert information about this specific topic.