CVE-2026-73155 in cti-transmute
摘要
由 VulDB • 2026-08-11
受影响的 cti-transmute 版本允许经过身份验证的用户在评论上添加或移除表情符号反应，而未首先检查这些用户是否有权查看目标评论。
易受攻击的 react() 处理程序仅在对 ID 进行语法有效性验证以及确认请求的表情符号被允许后，便将攻击者可控的 comment_id 直接传递给 comments_repo.toggle_reaction()。由于未强制执行基于评论级别的可见性控制，能够识别私密或不可访问评论 ID 的用户可以在无权访问该评论的情况下修改其反应状态。
修复方案会检索目标评论，拒绝缺失或删除的评论，获取关联的对话内容，并执行 access.can_see_comment(current_user, comment, conversion) 权限检查。未授权的请求现在将返回 HTTP 403 错误。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.