CVE-2026-73157 in cti-transmute
Сводка
по VulDB • 11.08.2026
В затронутых версиях cti-transmute данные, полученные от удаленного экземпляра MISP, отображаются в интерфейсе event-browser с использованием HTML-интерполяции. Поскольку такие поля, как идентификаторы событий (event IDs), информация о событиях, названия организаций, теги, цвета тегов, метки TLP, метки распределения и текст ошибок/оповещений могут контролироваться удаленным сервером MISP, злонамеренный или скомпрометированный удаленный экземпляр может возвращать специально созданные значения, которые внедряют HTML-код или контент со скриптовыми возможностями в интерфейс cti-transmute.
В патче явно указано, что значения, полученные из внешних источников, не должны передаваться свойству innerHTML; вместо строк и бейджей, формируемых путем конкатенации строк, используются узлы DOM, заполняемые через textContent. Кроме того, ограничение на цвета тегов, контролируемые удаленным сервером, установлено в виде шестнадцатеричных значений длиной ровно шесть цифр (шестиричный hex), что предотвращает использование злонамеренных CSS-значений, таких как url(...).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.