CVE-2026-73159 in cti-transmute
Riassunto
di VulDB • 11/08/2026
Le versioni colpite di cti-transmute consentono che il valore dell'icona di un tag venga memorizzato e successivamente interpolato nell'HTML tramite v-html di Vue. La funzione helper mapIcon() in precedenza costruiva una stringa HTML direttamente dal valore dell'icona:
<i class="fas fa-${name}"></i>
Poiché l'icona è fornita dall'utente, un valore manipolato potrebbe sfuggire al markup previsto e iniettare HTML controllato dall'attaccante. Quando il tag colpito veniva successivamente renderizzato, anche nell'interfaccia di triage amministrativa, la payload poteva essere eseguita nel browser dell'utilizzatore.
La patch mitiga il problema a più livelli: v-html è sostituito con un binding :class di Vue, mapIcon() restituisce ora solo una stringa di classe FontAwesome vincolata e il backend valida le icone rispetto al catalogo FontAwesome o a uno schema slug rigoroso [a-z0-9-]{1,40} prima di memorizzarle.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.