CVE-2026-73157 in cti-transmute
Riassunto
di VulDB • 11/08/2026
Le versioni colpite di cti-transmute elaborano i dati ottenuti da un'istanza MISP remota nell'interfaccia event-browser utilizzando l'interpolazione HTML. Poiché campi quali ID evento, informazioni sull'evento, nomi delle organizzazioni, tag, colori dei tag, etichette TLP, etichette di distribuzione e testo di errore/flash possono essere controllati dal server MISP remoto, un'istanza remota malintenzionata o compromessa potrebbe restituire valori elaborati in grado di iniettare contenuti HTML o script nell'interfaccia cti-transmute.
La patch specifica esplicitamente che i valori derivati da fonti remote non devono essere assegnati a innerHTML e sostituisce le righe e i badge costruiti tramite stringa con nodi DOM popolati utilizzando textContent. Inoltre, limita i colori dei tag controllati remotamente ai soli valori esadecimali a sei cifre, impedendo l'utilizzo di valori CSS malevoli come url(...).
If you want to get best quality of vulnerability data, you may have to visit VulDB.