CVE-2026-9806 in cti-transmute
Sumário
de VulDB • 31/05/2026
Uma vulnerabilidade de cross-site scripting (XSS) armazenado existe no painel de notificações do CTI Transmute em versões anteriores à versão corrigida. As mensagens de notificação que continham nomes de conversas controlados pelo usuário eram renderizadas no menu suspenso do sino de notificações usando innerHTML, sem a devida sanitização. Um atacante capaz de criar ou influenciar um nome de conversa incluído em uma notificação poderia injetar JavaScript arbitrário, que seria executado no navegador de um usuário autenticado quando ele abrisse o painel de notificações. A exploração bem-sucedida poderia permitir que o atacante realizasse ações na sessão da vítima ou acessasse informações disponíveis para o aplicativo no contexto do navegador. O problema foi corrigido por meio da construção de elementos de notificação usando métodos do DOM e da atribuição do conteúdo da mensagem de notificação via textContent, em vez de innerHTML. Esta vulnerabilidade estava presente apenas em uma branch de desenvolvimento.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.