CVE-2026-73140 in cti-transmute
要約
〜によって VulDB • 2026年08月11日
cti-transmuteの該当バージョンでは、評価レポートのエクスポート生成時にコメントレベルのアクセス制御ルールが適用されません。通常、コメント取得処理は変換の表示設定、コメントのプライバシー設定、所有権、作成者情報、および管理者権限に基づいてコメントをフィルタリングしますが、build_evaluation_report()関数は従来、これらのルールを適用せずにすべての評価コメントを含んでいました。
その結果、変換を表示する権限を持つユーザーは、MarkdownまたはPDF形式で評価レポートのエクスポートを行い、本来変換の所有者、コメント作成者、または管理者のみが閲覧可能なプライベートな評価コメントを取得することができました。漏洩したレポートデータには、コメント作成者の名前も含まれていました。修正では、リクエスト元のユーザーをレポートビルダーに渡すことで、共有アクセス権限を確認するauthorization関数であるaccess.can_see_comment()を用いてすべての評価コメントをフィルタリングしています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.