CVE-2026-73161
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatne wersje cti-transmute nieprawidłowo obsługują wartości tabel konwersji przekazywane przez funkcję podświetlania wyszukiwania. Funkcja highlight() zwracała tekst bezpośrednio, gdy nie podano zapytania, lub wykonywała zamianę regex, wstawiając znaczniki <mark> bez uprzedniego escapowania oryginalnej treści. Ponieważ wynik jest używany w kontekście renderowania HTML, złośliwy markup w danych konwersji mógł być interpretowany jako HTML zamiast wyświetlany jako tekst. Poprawka wprowadza funkcję highlightMatches(), która najpierw konwertuje znaki specjalne na encje HTML.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod HTML/JavaScript, który wykona się w przeglądarce użytkownika, prowadząc do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj cti-transmute do wersji z poprawką, która escapuje dane przed wstawieniem znaczników <mark>.
Oryginalny opis (angielski, źródło NVD)
Affected versions of cti-transmute improperly handle conversion-table values passed through the search highlighting feature. The highlight() function previously returned the underlying text directly when no search query was supplied, or performed a regex replacement that inserted <mark> tags without first escaping the original content. Because the resulting value is used by an HTML-rendering sink, malicious markup contained in conversion data could be interpreted as HTML rather than displayed as text. The fix introduces a shared highlightMatches() helper that first converts special characters such as <, >, &, and quotes into HTML entities. Only after escaping does the code insert the application-controlled <mark> element used for search highlighting.