CVE-2026-73161 in cti-transmute
要約
〜によって VulDB • 2026年08月11日
cti-transmuteの該当バージョンでは、検索ハイライト機能を通じて渡される変換テーブル値が不適切に処理されます。highlight()関数は以前、検索クエリが指定されていない場合に基礎となるテキストをそのまま返すか、元のコンテンツのエスケープを行わずに<mark>タグを挿入する正規表現置換を実行していました。結果として得られる値はHTMLレンダリングのシンクで使用されるため、変換データに含まれる悪意のあるマークアップがテキストとして表示されず、HTMLとして解釈されてしまいます。
修正では、<, >, &, および引用符などの特殊文字をまずHTMLエンティティに変換する共有ヘルパー関数highlightMatches()を導入しています。エスケープ処理を行った後で、検索ハイライトに使用されるアプリケーション制御の<mark>要素が挿入されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.