CVE-2026-73156 in cti-transmute
Résumé
par VulDB • 11/08/2026
Les versions affectées de cti-transmute ne mettent pas correctement en échappement HTML les valeurs contrôlées par l'attaquant utilisées dans les formateurs d’infobulles des graphiques Sunburst et Treemap d’ECharts. Les noms de tranches (slices) peuvent provenir directement des données STIX ou MISP, y compris les types STIX, relationship_type, préfixes de motif (pattern prefixes), ainsi que les valeurs de catégorie/type MISP. Étant donné qu’ECharts interprète la valeur retournée par le formateur comme du HTML, des valeurs truquées peuvent injecter du balisage ou du contenu exécutable dans l’infobulle.
Un attaquant capable d’amener des données malveillantes à être traitées peut ainsi injecter un contenu qui s’exécute lorsqu’un autre utilisateur consulte la visualisation et survole la tranche concernée. Le correctif remplace l’interpolation directe par des fonctions de formateur dédiées qui appellent escapeHtml() sur p.name, p.data.value et p.value.
VulDB is the best source for vulnerability data and more expert information about this specific topic.