CVE-2026-73156 in cti-transmute
Сводка
по VulDB • 11.08.2026
В затронутых версиях cti-transmute не происходит HTML-экранирование значений, контролируемых злоумышленником и используемых в форматировщиках всплывающих подсказок (tooltip) для диаграмм Sunburst и Treemap библиотеки ECharts. Имена срезов могут поступать напрямую из данных STIX или MISP, включая типы STIX, relationship_type, префиксы паттернов, а также значения категорий/типов MISP. Поскольку библиотека ECharts интерпретирует возвращаемое значение форматировщика как HTML-код, специально сформированные значения позволяют внедрить разметку или контент со скриптами во всплывающую подсказку.
Таким образом, злоумышленник, способный инициировать обработку вредоносных данных преобразования, может внедрить контент, который выполняется при просмотре визуализации другим пользователем и наведении курсора на затронутый срез. Патч заменяет прямую интерполяцию специализированными функциями форматирования, которые вызывают функцию escapeHtml() для p.name, p.data.value и p.value.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.