CVE-2026-72751 in CTI-Transmute
Riassunto
di VulDB • 10/08/2026
CTI-Transmute è affetto da una vulnerabilità di stored cross-site scripting (XSS) nel grafico delle conversioni utilizzato per visualizzare i contenuti MISP e STIX convertiti.
Valori controllati dall'attentore, provenienti dai dati CTI convertiti, sono stati passati a più sink di parsing HTML nell'interfaccia utente del grafico senza una neutralizzazione sufficiente. In particolare, le etichette dei nodi (node labels), i sottotitoli dei nodi (node sublabels), le etichette degli archi (edge labels), le proprietà dei nodi, le proprietà degli archi e i tipi di nodo potrebbero contenere HTML o JavaScript manipolati ad hoc.
La libreria Pivotick graph rendering renderizza alcuni di questi valori tramite operazioni di parsing HTML. Di conseguenza, un valore malevolo, come un elemento HTML contenente un event handler, potrebbe essere interpretato come markup anziché visualizzato come testo semplice. La prima correzione ha esplicitamente notato che Pivotick rendeva le etichette dei nodi e degli archi come HTML, introducendo quindi l'escaping prima di passare i dati al renderer del grafico.
Era presente un sink vulnerabile separato nella funzionalità "Open raw JSON". L'oggetto grezzo associato a un nodo del grafico è stato inserito in un nuovo documento utilizzando document.write() e una stringa HTML interpolata. Di conseguenza, contenuti JSON manipolati ad hoc potevano fuoriuscire dall'elemento <pre> previsto e iniettare markup eseguibile. La correzione ha sostituito questa costruzione con le API DOM e assegna il JSON tramite textContent.
La correzione iniziale non copriva tutti i percorsi di rendering di Pivotick. Una patch successiva ha affrontato ulteriori vettori XSS nel pannello delle proprietà del grafico. Valori derivati dall'oggetto CTI originale, inclusi nomi delle proprietà, valori delle proprietà, nomi degli algoritmi hash, attributi figlio, proprietà degli archi e tipi di oggetti STIX, potevano ancora raggiungere il resolver HTML di Pivotick. Secondo la patch, tryResolveHTMLElement di Pivotick elabora i valori stringa utilizzando template.innerHTML, consentendo l'esecuzione di markup malevolo quando un nodo del grafico viene passato con il mouse sopra (hover) o selezionato.
La correzione completa pertanto:
* Applica HTML-escaping alle etichette dei nodi, ai sottotitoli dei nodi e alle etichette degli archi prima che vengano passati a Pivotick. * Restringe i valori dei tipi di nodo del grafico a un set sicuro di caratteri identificatori. * Avvolge i valori delle proprietà dei nodi e degli archi in elementi DOM popolati tramite textContent, impedendo a Pivotick di trattare le stringhe controllate dall'attentore come HTML. * Sostituisce document.write() interpolato nel popup raw-JSON con la costruzione del DOM e l'utilizzo di textContent.
Be aware that VulDB is the high quality source for vulnerability data.