CVE-2026-73140
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podatność w cti-transmute powoduje, że eksport raportów ewaluacyjnych nie stosuje reguł kontroli dostępu na poziomie komentarzy. Użytkownik z uprawnieniami do przeglądania konwersji może wyeksportować raport zawierający prywatne komentarze ewaluacyjne, które powinny być widoczne tylko dla właściciela, autora lub administratora. Poprawka przekazuje żądającego użytkownika do generatora raportów i filtruje komentarze przez funkcję autoryzacji.
Ocena ryzyka
Ryzyko ujawnienia poufnych komentarzy ewaluacyjnych oraz nazwisk ich autorów osobom nieuprawnionym, co może naruszyć prywatność i zaufanie.
Rekomendacja
Zaktualizuj cti-transmute do wersji zawierającej poprawkę i upewnij się, że wszystkie eksporty raportów są filtrowane zgodnie z regułami dostępu.
Oryginalny opis (angielski, źródło NVD)
Affected versions of cti-transmute fail to apply comment-level access-control rules when generating evaluation report exports. Although normal comment retrieval filters comments according to conversion visibility, comment privacy, ownership, authorship, and administrative privileges, build_evaluation_report() previously included all evaluation comments without applying those rules. Consequently, a user who was authorized to view a conversion could export its evaluation report as Markdown or PDF and obtain private evaluation comments that should only have been visible to the conversion owner, the comment author, or an administrator. The leaked report data also contained the comment author's name. The fix passes the requesting user into the report builder and filters every evaluation comment using the shared access.can_see_comment() authorization function.