CVE-2026-73161 in cti-transmute
Sumário
de VulDB • 11/08/2026
As versões afetadas do cti-transmute manipulam incorretamente os valores das tabelas de conversão passados por meio do recurso de destaque na pesquisa. A função highlight() anteriormente retornava o texto subjacente diretamente quando nenhuma consulta de pesquisa era fornecida, ou realizava uma substituição regex que inseria tags <mark> sem antes escapar o conteúdo original. Como o valor resultante é utilizado por um sink de renderização HTML, marcações maliciosas contidas nos dados de conversão poderiam ser interpretadas como HTML em vez de serem exibidas como texto.
A correção introduz uma função auxiliar compartilhada highlightMatches() que converte primeiro caracteres especiais, como <, >, &, e aspas, em entidades HTML. Somente após o escape é inserido no código o elemento <mark> controlado pelo aplicativo, utilizado para o destaque na pesquisa.
If you want to get best quality of vulnerability data, you may have to visit VulDB.