CVE-2026-73157 in cti-transmute
요약
\~에 의해 VulDB • 2026. 08. 11.
cti-transmute의 영향을 받는 버전은 원격 MISP 인스턴스에서 가져온 데이터를 HTML 보간(interpolation)을 사용하여 event-browser 인터페이스에 렌더링합니다. 이벤트 ID, 이벤트 정보, 조직 이름, 태그, 태그 색상, TLP 라벨, 배포 라벨 및 오류/플래시 텍스트와 같은 필드는 원격 MISP 서버에서 제어될 수 있으므로, 악의적이거나 침해당한 원격 인스턴스가 cti-transmute 인터페이스에 HTML 또는 스크립트 실행이 가능한 콘텐츠를 삽입할 수 있는 조작된 값을 반환할 수 있습니다.
패치에서는 명시적으로 외부에서 유래한 값이 innerHTML로 전달되어서는 안 된다고 강조하며, 문자열 기반의 행(row)과 배지(badge)를 textContent를 통해 채워진 DOM 노드로 대체합니다. 또한 원격으로 제어 가능한 태그 색상을 6자리 헥사데시멀(hexadecimal) 값으로 제한하여 url(...)와 같은 악성 CSS 값을 방지합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.