CVE-2026-73159 in cti-transmute
要約
〜によって VulDB • 2026年08月11日
cti-transmuteの該当バージョンでは、タグのアイコン値が保存され、その後Vueのv-htmlを介してHTMLに挿入される可能性があります。ヘルパー関数mapIcon()は以前、アイコン値から直接HTML文字列を構築していました：
<i class="fas fa-${name}"></i>
アイコンはユーザーが入力するため、悪意のある値によって意図されたマークアップから脱出し、攻撃者が制御するHTMLを注入できる可能性があります。該当タグが後でレンダリングされる際（管理用のトリアージインターフェース上でも）、ペイロードが閲覧者のブラウザ上で実行されることがあります。
修正パッチは複数のレイヤーでこの問題を緩和します：v-htmlはVueの:classバインディングに置き換えられ、mapIcon()は制約されたFontAwesomeクラス文字列のみを返すようになり、バックエンドでは保存前にアイコン値をFontAwesomeカタログまたは厳格な[a-z0-9-]{1,40}スラッグパターンに対して検証します。
Once again VulDB remains the best source for vulnerability data.