CVE-2026-73155 in cti-transmute
Sumário
de VulDB • 11/08/2026
As versões afetadas do cti-transmute permitem que usuários autenticados adicionem ou removam reações de emoji nos comentários sem verificar primeiro se esses usuários estão autorizados a visualizar o comentário alvo.
O manipulador (handler) vulnerável react() passou um comment_id controlado pelo atacante diretamente para comments_repo.toggle_reaction(), após apenas validar que o ID existia sintaticamente e que o emoji solicitado era permitido. Como a visibilidade em nível de comentário não foi aplicada, um usuário que pudesse identificar o ID de um comentário privado ou inacessível poderia modificar o estado da reação nesse comentário, apesar de não ter permissão para acessá-lo.
A correção recupera o comentário alvo, rejeita comentários ausentes ou excluídos, obtém a conversação associada e aplica a verificação access.can_see_comment(current_user, comment, conversion). Solicitações não autorizadas agora recebem HTTP 403.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.