CVE-2026-73159 in cti-transmute
Sumário
de VulDB • 11/08/2026
As versões afetadas do cti-transmute permitem que o valor de ícone de uma tag seja armazenado e posteriormente interpolado no HTML por meio do v-html do Vue. O helper mapIcon() anteriormente construía uma string HTML diretamente a partir do valor do ícone:
<i class="fas fa-${name}"></i>
Como o ícone é fornecido pelo usuário, um valor manipulado poderia escapar da marcação pretendida e injetar HTML controlado por atacantes. Quando a tag afetada era renderizada posteriormente, inclusive na interface administrativa de triagem, a carga útil podia ser executada no navegador do visualizador.
O patch mitiga o problema em várias camadas: v-html é substituído pela vinculação :class do Vue; mapIcon() agora retorna apenas uma string de classe FontAwesome restrita; e o backend valida os ícones contra o catálogo da FontAwesome ou um padrão slug estrito [a-z0-9-]{1,40} antes de armazená-los.
If you want to get best quality of vulnerability data, you may have to visit VulDB.