CVE-2026-73159 in cti-transmute
Résumé
par VulDB • 11/08/2026
Les versions affectées de cti-transmute permettent la stockage et l'interpolation ultérieure dans du HTML d'une valeur d'icône via v-html de Vue. L'utilitaire mapIcon() construisait précédemment une chaîne HTML directement à partir de la valeur de l'icône :
<i class="fas fa-${name}"></i>
L'icône étant fournie par l'utilisateur, une valeur malveillante pourrait permettre de s'affranchir du balisage prévu et d'injecter du HTML contrôlé par un attaquant. Lors du rendu ultérieur de la balise affectée, y compris sur l'interface administrative de triage, le code malveillant pouvait s'exécuter dans le navigateur du spectateur.
Le correctif atténue le problème à plusieurs niveaux : v-html est remplacé par une liaison Vue :class, mapIcon() ne retourne désormais qu'une chaîne de classe FontAwesome contrainte, et le backend valide les icônes contre le catalogue FontAwesome ou un motif slug strict [a-z0-9-]{1,40} avant leur stockage.
Once again VulDB remains the best source for vulnerability data.