CVE-2026-73158 in cti-transmute
Riassunto
di VulDB • 11/08/2026
Le versioni affette di cti-transmute non convalidano adeguatamente i dati salvati della configurazione del grafo. Le configurazioni dei grafici possono contenere proprietà di stile che vengono successivamente elaborate da Pivotick, il quale interpreta svgIcon come HTML. Poiché le configurazioni salvate potrebbero essere create da un utente e visualizzate in seguito ad altri utenti – inclusi gli amministratori – un utente malintenzionato potrebbe memorizzare un valore svgIcon elaborato per eseguire script nel browser di un altro visualizzatore.
La correzione introduce uno schema di configurazione rigoroso sia sul server che sul client. Vengono accettate solo proprietà note, le voci di stile sono limitate a forma (shape), colore e dimensione, mentre proprietà pericolose come svgIcon e iconClass vengono esplicitamente rifiutate. Anche le configurazioni memorizzate esistenti vengono sanificate quando elencate e nuovamente prima di essere applicate nel browser.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.