CVE-2026-73157

cti-transmute-nin təsirlənmiş versiyaları uzaqdakı MISP instansiyasından əldə edilən məlumatları HTML interpolasiyası vasitəsilə event-browser interfeysində göstərir. Hadisə ID-ləri (event IDs), hadisə məlumatları, təşkilat adları, teqlər, teq rəngləri, TLP etiketləri, paylanma etiketləri və xəta/flash mətni kimi sahələr uzaqdakı MISP serveri tərəfindən idarə oluna bildiyi üçün, zərərli və ya kompromisə uğramış uzaq instansiya cti-transmute interfeysinə HTML və ya skript icrasına imkan verən məzmunu inyeksiya edən xüsusi hazırlanmış dəyərlər qaytara bilər. Yamaq açıq şəkildə qeyd edir ki, uzaqdan əldə edilən dəyərlər innerHTML-ə çatmamalıdır və sətirlərlə qurulmuş sətirləri və nişanları (badges) textContent vasitəsilə doldurulan DOM düyünləri ilə əvəz edir. O, həmçinin uzaqdan idarə olunan teq rənglərini altı rəqəmli onaltılıq (hexadecimal) dəyərlərlə məhdudlaşdıraraq url(...) kimi zərərli CSS dəyərlərinin qarşısını alır.