CVE-2026-73155

Podatne wersje MISP cti-transmute udostępniają kilka operacji zmieniających stan konta jako żądania GET, np. /account/follow, /account/delete_notification, /account/mark_notification_read i /account/mark_all_read. Te punkty końcowe wymagają uwierzytelnienia, ale przed poprawką mogły być wywoływane prostymi żądaniami GET, co czyni je podatnymi na cross-site request forgery (CSRF). Poprawka zmienia te akcje na POST lub DELETE i dodaje nagłówek X-CSRFToken w frontendzie.

Podatne wersje cti-transmute nieprawidłowo obsługują wartości tabel konwersji przekazywane przez funkcję podświetlania wyszukiwania. Funkcja highlight() zwracała tekst bezpośrednio, gdy nie podano zapytania, lub wykonywała zamianę regex, wstawiając znaczniki <mark> bez uprzedniego escapowania oryginalnej treści. Ponieważ wynik jest używany w kontekście renderowania HTML, złośliwy markup w danych konwersji mógł być interpretowany jako HTML zamiast wyświetlany jako tekst. Poprawka wprowadza funkcję highlightMatches(), która najpierw konwertuje znaki specjalne na encje HTML.

Podatne wersje cti-transmute zawierają podatność SSRF w punktach końcowych /fetch_misp_event i /misp_search_events. Procedura walidacji URL sprawdzała, czy podana nazwa hosta jest adresem IP i odrzucała prywatne, pętlowe, link-local lub zarezerwowane adresy IP. Jednak zwykłe nazwy domen były akceptowane bez wcześniejszego ich rozwiązywania. Atakujący mógł więc użyć nazwy hosta, której rekord DNS wskazywał na wewnętrzny adres, i spowodować, że serwer cti-transmute wysyłał żądania do swojej sieci wewnętrznej. Poprawka rozwiązuje nazwy hostów za pomocą socket.getaddrinfo(), sprawdza, czy każdy rozwiązany adres jest globalnie routowalny, oraz dodaje @login_required do obu dotkniętych tras.

Podatne wersje cti-transmute pozwalają na przechowywanie wartości ikony tagu i późniejszą interpolację do HTML przez v-html. Funkcja mapIcon() konstruowała string HTML bezpośrednio z wartości ikony, np. <i class="fas fa-${name}"></i>. Ponieważ ikona jest dostarczana przez użytkownika, spreparowana wartość mogła wyrwać się z zamierzonego markupu i wstrzyknąć HTML kontrolowany przez atakującego. Gdy tag był renderowany, w tym na administracyjnym interfejsie triage, payload mógł wykonać się w przeglądarce widza. Poprawka zastępuje v-html bindingiem :class, ogranicza mapIcon() do klasy FontAwesome i waliduje ikony po stronie backendu.

Podatne wersje cti-transmute niewystarczająco walidują zapisane dane konfiguracji grafów. Konfiguracje grafów mogą zawierać właściwości stylu, które są później używane przez Pivotick, a Pivotick interpretuje svgIcon jako HTML. Ponieważ zapisane konfiguracje mogą być tworzone przez jednego użytkownika i wyświetlane innym, w tym administratorom, złośliwy użytkownik mógł zapisać spreparowaną wartość svgIcon, która wykonuje skrypt w przeglądarce innego widza. Poprawka wprowadza ścisły schemat konfiguracji po stronie serwera i klienta, odrzucając niebezpieczne właściwości.

Podatność w cti-transmute polega na renderowaniu danych pochodzących z zdalnej instancji MISP w interfejsie event-browser za pomocą interpolacji HTML. Złośliwy lub skompromitowany serwer MISP może zwrócić spreparowane wartości, które wstrzykują HTML lub skrypty do interfejsu.

Podatne wersje cti-transmute nie escapują wartości kontrolowanych przez atakującego używanych w formaterach tooltipów ECharts Sunburst i Treemap. Nazwy wycinków mogą pochodzić bezpośrednio z danych STIX lub MISP, w tym typów STIX, relationship_type, prefiksów wzorców oraz wartości kategorii/typu MISP. Ponieważ ECharts interpretuje wartość zwracaną przez formater jako HTML, spreparowane wartości mogą wstrzyknąć markup lub treści zdolne do wykonania skryptów w tooltipie. Poprawka zastępuje bezpośrednią interpolację dedykowanymi funkcjami formaterów, które wywołują escapeHtml() na p.name, p.data.value i p.value.

Podatność w cti-transmute powoduje, że eksport raportów ewaluacyjnych nie stosuje reguł kontroli dostępu na poziomie komentarzy. Użytkownik z uprawnieniami do przeglądania konwersji może wyeksportować raport zawierający prywatne komentarze ewaluacyjne, które powinny być widoczne tylko dla właściciela, autora lub administratora. Poprawka przekazuje żądającego użytkownika do generatora raportów i filtruje komentarze przez funkcję autoryzacji.

CTI-Transmute zawiera podatność na trwały atak XSS w grafie konwersji, który wizualizuje przekonwertowane dane MISP i STIX. Wartości kontrolowane przez atakującego, pochodzące z danych CTI, były przekazywane do parserów HTML w interfejsie grafu bez odpowiedniej neutralizacji, co pozwalało na wykonanie złośliwego kodu. Podatność obejmuje etykiety węzłów, krawędzi, właściwości oraz funkcję otwierania surowego JSON.

CTI-Transmute zawiera podatność na trwały atak XSS, spowodowaną niewystarczającą neutralizacją ograniczników wyrażeń szablonu Vue w danych renderowanych po stronie serwera. Nieuwierzytelniony atakujący może utworzyć publiczną konwersję z nazwą lub opisem zawierającym złośliwe wyrażenie Vue, które jest wykonywane w przeglądarce ofiary. Podatność umożliwia wykonanie dowolnego kodu JavaScript w kontekście aplikacji.