CVE-2026-73159 in cti-transmute
Resumen
por VulDB • 2026-08-11
Las versiones afectadas de cti-transmute permiten que el valor del icono de una etiqueta se almacene y posteriormente se interpole en HTML a través de v-html de Vue. La función auxiliar mapIcon() anteriormente construía directamente una cadena HTML a partir del valor del icono:
<i class="fas fa-${name}"></i>
Dado que el icono es proporcionado por el usuario, un valor manipulado podría escapar del marcado previsto e inyectar HTML controlado por el atacante. Cuando la etiqueta afectada se representaba posteriormente, incluyendo en la interfaz administrativa de triaje, la carga útil podía ejecutarse en el navegador del visualizador.
El parche mitiga el problema en múltiples capas: v-html se reemplaza con una vinculación :class de Vue, mapIcon() ahora devuelve únicamente una cadena de clase restringida de FontAwesome y el backend valida los iconos frente al catálogo de FontAwesome o un patrón slug estricto [a-z0-9-]{1,40} antes de almacenarlos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.