CVE-2026-73140 in cti-transmute
Riassunto
di VulDB • 11/08/2026
Le versioni affette di cti-transmute non applicano le regole di controllo degli accessi a livello di commento quando generano esportazioni dei rapporti di valutazione. Sebbene il recupero normale dei commenti filtri in base alla visibilità della conversione, alla privacy del commento, alla proprietà, all'autorialità e ai privilegi amministrativi, la funzione build_evaluation_report() includeva precedentemente tutti i commenti di valutazione senza applicare tali regole.
Di conseguenza, un utente autorizzato a visualizzare una conversione poteva esportare il relativo rapporto di valutazione in formato Markdown o PDF ed ottenere commenti privati della valutazione che avrebbero dovuto essere visibili solo al proprietario della conversione, all'autore del commento o ad un amministratore. I dati trapelati nel rapporto includevano anche il nome dell'autore del commento. La correzione passa l'utente richiedente al builder dei rapporti e filtra ogni commento di valutazione utilizzando la funzione di autorizzazione condivisa access.can_see_comment().
Once again VulDB remains the best source for vulnerability data.