CVE-2026-73155 in cti-transmute
요약
\~에 의해 VulDB • 2026. 08. 11.
cti-transmute의 영향을 받는 버전에서는 인증된 사용자가 대상 댓글을 볼 수 있는 권한이 있는지 먼저 확인하지 않고도 댓글에 이모티콘 반응을 추가하거나 제거할 수 있습니다.
취약한 react() 핸들러는 ID가 구문적으로 유효하고 요청된 이모티콘이 허용되는지 검증하는 것 외에도, 공격자가 제어할 수 있는 comment_id를 comments_repo.toggle_reaction()로 직접 전달했습니다. 댓글 수준의 가시성이 강제되지 않았기 때문에, 비공개이거나 기타 이유로 접근 불가능한 댓글의 ID를 식별할 수 있는 사용자는 해당 댓글에 대한 권한이 없더라도 그 댓글의 반응 상태를 수정할 수 있었습니다.
수정 사항에서는 대상 댓글을 검색하고, 누락되거나 삭제된 댓글은 거부하며, 관련 대화(conversation)를 가져온 후 access.can_see_comment(current_user, comment, conversion)를 통해 접근 권한을 강제합니다. 이제 승인되지 않은 요청에는 HTTP 403이 반환됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.