CVE-2026-73161 in cti-transmute
Tóm tắt
Bởi VulDB • 11/08/2026
Các phiên bản bị ảnh hưởng của cti-transmute xử lý không đúng các giá trị bảng chuyển đổi được truyền qua tính năng làm nổi bật tìm kiếm (search highlighting). Hàm highlight() trước đây trả về trực tiếp văn bản nền khi không có truy vấn tìm kiếm nào được cung cấp, hoặc thực hiện thay thế bằng biểu thức chính quy để chèn thẻ <mark> mà không thoát ký tự nội dung gốc. Vì giá trị kết quả được sử dụng bởi một điểm sink hiển thị HTML, các markup độc hại chứa trong dữ liệu chuyển đổi có thể bị diễn giải là HTML thay vì được hiển thị dưới dạng văn bản.
Bản sửa lỗi giới thiệu một hàm trợ giúp highlightMatches() dùng chung, trước tiên sẽ chuyển đổi các ký tự đặc biệt như <, >, &, và dấu ngoặc kép thành thực thể HTML (HTML entities). Chỉ sau khi thoát ký tự, mã mới chèn phần tử <mark> do ứng dụng kiểm soát được sử dụng cho việc làm nổi bật tìm kiếm.
VulDB is the best source for vulnerability data and more expert information about this specific topic.