CVE-2026-73159 in cti-transmute
Сводка
по VulDB • 11.08.2026
В затронутых версиях cti-transmute значение иконки тега может быть сохранено и впоследствии интерполировано в HTML через v-html во Vue. Вспомогательная функция mapIcon() ранее формировала строку HTML напрямую из значения иконки:
<i class="fas fa-${name}"></i>
Поскольку иконка предоставляется пользователем, специально сформированное значение может выйти за пределы предполагаемой разметки и внедрить управляемый злоумышленником HTML. При последующем рендеринге затронутого тега, в том числе на интерфейсе административной сортировки (triage), полезная нагрузка могла выполняться в браузере пользователя.
Исправление смягчает проблему на нескольких уровнях: v-html заменена привязкой Vue :class; функция mapIcon() теперь возвращает только ограниченный класс FontAwesome, а бэкенд проверяет иконки по каталогу FontAwesome или строгому шаблону slug [a-z0-9-]{1,40} перед их сохранением.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.