CVE-2026-73160

cti-transmute-nin təsirlənmiş versiyalarında /fetch_misp_event və /misp_search_events son nöqtələrində (endpoints) SSRF zəifliyi mövcuddur. URL validasiya proseduru təqdim edilən host adının özünün IP literal olub-olmadığını yoxlayır və şəxsi, loopback, link-local və ya rezerv edilmiş IP-ləri rədd edirdi. Lakin adi domen adları əvvəlcə həll olunmadan (resolve) qəbul edilirdi. Buna görə də hücumçu, DNS qeydi daxili ünvana yönəlmiş host adından istifadə edərək cti-transmute serverinin daxili şəbəkəsinə sorğular göndərməsinə səbəb ola bilərdi. Commit-də açıq şəkildə qeyd olunub ki, anonim çağırıcılar serverin daxili hədəfə sorğu göndərməsini və cavabı oxumasını təmin edə bilərdilər. Düzəliş host adlarını socket.getaddrinfo() vasitəsilə həll edir, hər bir həll olunmuş ünvanın qlobal olaraq marşrutlaşdırıla bildiyini yoxlayır və əlavə olaraq hər iki təsirlənmiş MISP fetch/search marşrutlarına @login_required dekoratorunu yerləşdirir.