CVE-2026-73155

cti-transmute-nin təsirlənmiş versiyaları autentifikasiya olunmuş istifadəçilərə hədəf şərhi görmək üçün səlahiyyətli olub-olmadıqlarını yoxlamadan, şərhlərdə emoji reaksiyalarını əlavə etməyə və ya silməyə imkan verir. Zəiflik olan react() handler-ı, ID-nin sintaktik olaraq mövcud olduğunu və sorğu edilən emojinin icazəli olduğunu yoxladıqdan sonra hücumçu tərəfindən idarə olunan comment_id parametrini birbaşa comments_repo.toggle_reaction()-a ötürürdü. Şərh səviyyəsində görünürlük tətbiq edilmədiyindən, gizli və ya əlçatmaz olan şərhin ID-sini müəyyən edə bilən istifadəçi, həmin şərhə giriş icazəsi olmasa belə, orada reaksiya vəziyyətini dəyişdirə bilirdi. Düzəliş hədəf şərhi götürür, mövcud olmayan və ya silinmiş şərhləri rədd edir, onunla əlaqəli konversiyanı əldə edir və access.can_see_comment(current_user, comment, conversion) funksiyasını tətbiq edir. Səlahiyyətsiz sorğular artıq HTTP 403 cavabını alır.