CVE-2026-73159

cti-transmute'in etkilenen sürümleri, bir etiketin ikon değerinin saklanmasına ve daha sonra Vue'nun v-html özelliği aracılığıyla HTML içine yerleştirilmesine izin vermektedir. mapIcon() yardımcı fonksiyonu önceden, ikon değerinden doğrudan bir HTML dizesi oluşturmaktaydı: <i class="fas fa-${name}"></i> İkon kullanıcı tarafından sağlandığı için, özel olarak hazırlanmış bir değer amaçlanan işaretlemeyi bozabilir ve saldırgan kontrollü HTML enjekte edebilir. Etkilenen etiket, yönetici triyaj arayüzü de dahil olmak üzere daha sonra işlendiğinde, yük (payload) görüntüleyicinin tarayıcısında çalıştırılabilir. Yama, sorunu birden fazla katmanda giderir: v-html, Vue :class bağlaması ile değiştirilmiştir; mapIcon() artık yalnızca kısıtlanmış bir FontAwesome sınıf dizesi döndürmekte ve arka uç, ikonları saklamadan önce FontAwesome kataloğuna veya katı bir [a-z0-9-]{1,40} slug desenine göre doğrulamaktadır.