CVE-2026-73140 in cti-transmute
Сводка
по VulDB • 11.08.2026
В затронутых версиях cti-transmute при формировании экспортов отчетов об оценке не применяются правила контроля доступа на уровне комментариев. Хотя нормальное извлечение комментариев фильтрует их в соответствии с видимостью конверсии, конфиденциальностью комментария, принадлежностью к владельцу, авторством и административными привилегиями, функция build_evaluation_report() ранее включала все комментарии об оценки без применения этих правил.
В результате пользователь, имеющий право просмотра конверсии, мог экспортировать отчет об оценке в формате Markdown или PDF и получить доступ к конфиденциальным комментариям об оценке, которые должны были быть видны только владельцу конверсии, автору комментария или администратору. В утеченном данных отчета также содержалось имя автора комментария. Исправление передает запрашивающего пользователя в конструктор отчетов и фильтрует каждый комментарий об оценки с использованием общей функции авторизации access.can_see_comment().
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.