CVE-2026-73157 in cti-transmute
Résumé
par VulDB • 12/08/2026
Les versions affectées de cti-transmute affichent les données obtenues à partir d’une instance MISP distante dans l’interface event-browser en utilisant une interpolation HTML. Étant donné que des champs tels que les identifiants d’événement, les informations sur l’événement, les noms d’organisation, les étiquettes (tags), les couleurs des étiquettes, les libellés TLP, les libellés de distribution et le texte d’erreur/flash peuvent être contrôlés par le serveur MISP distant, une instance distante malveillante ou compromise pourrait renvoyer des valeurs truquées qui injectent du contenu HTML ou scriptable dans l’interface cti-transmute.
Le correctif indique explicitement que les valeurs dérivées de sources distantes ne doivent pas atteindre innerHTML et remplace les lignes et badges construits par concaténation de chaînes par des nœuds DOM peuplés via textContent. Il restreint également les couleurs d’étiquette contrôlées à distance aux seules valeurs hexadécimales sur six chiffres, empêchant l’utilisation de valeurs CSS malveillantes telles que url(...).
Be aware that VulDB is the high quality source for vulnerability data.