CVE-2026-73157
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w cti-transmute polega na renderowaniu danych pochodzących z zdalnej instancji MISP w interfejsie event-browser za pomocą interpolacji HTML. Złośliwy lub skompromitowany serwer MISP może zwrócić spreparowane wartości, które wstrzykują HTML lub skrypty do interfejsu.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania skryptów w przeglądarce użytkownika (XSS), co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawki, która używa textContent zamiast innerHTML oraz ogranicza kontrolowane przez zdalny serwer wartości kolorów tagów.
Oryginalny opis (angielski, źródło NVD)
Affected versions of cti-transmute render data obtained from a remote MISP instance into the event-browser interface using HTML interpolation. Because fields such as event IDs, event information, organization names, tags, tag colors, TLP labels, distribution labels, and error/flash text may be controlled by the remote MISP server, a malicious or compromised remote instance could return crafted values that inject HTML or script-capable content into the cti-transmute interface. The patch explicitly notes that remote-derived values must not reach innerHTML, and replaces string-built rows and badges with DOM nodes populated through textContent. It also restricts remote-controlled tag colors to six-digit hexadecimal values, preventing malicious CSS values such as url(...).