CVE-2026-73155

cti-transmute'un etkilenen sürümleri, kimliği doğrulanmış kullanıcıların, hedef yorumu görüntüleme yetkisine sahip olup olmadıkları önceden kontrol edilmeden yorumlara emoji tepkisi eklemesine veya kaldırmasına izin verir. Güvenlik açığı içeren react() işleyicisi, saldırgan tarafından kontrol edilen comment_id değerini, yalnızca kimliğin sözdizimsel olarak var olduğunu ve istenen emojinin izinli olduğunu doğruladıktan sonra doğrudan comments_repo.toggle_reaction() işlevine aktarıyordu. Yorum düzeyinde görünürlük uygulanmadığından, özel veya erişilemeyen bir yorumun kimliğini tespit edebilen bir kullanıcı, erişim izni olmamasına rağmen o yorum üzerindeki tepki durumunu değiştirebiliyordu. Düzeltme, hedef yorumu getirir, eksik veya silinmiş yorumları reddeder, ilişkili dönüşümü getirir ve access.can_see_comment(current_user, comment, conversion) kontrolünü uygular. Yetkisiz istekler artık HTTP 403 yanıtı alır.