CVE-2026-73160

cti-transmute ürününün etkilenen sürümleri, /fetch_misp_event ve /misp_search_events uç noktalarında bir SSRF güvenlik açığı içerir. URL doğrulama rutini, sağlanan ana bilgisayar adının kendisinin bir IP sabiti olup olmadığını kontrol ediyor ve özel, geri döngü, bağlantı yerel veya ayrılmış IP'leri reddediyordu. Ancak, sıradan alan adları önce çözümlenmeden kabul ediliyordu. Bu nedenle bir saldırgan, DNS kaydı dahili bir adrese işaret eden bir ana bilgisayar adı kullanarak cti-transmute sunucusunun kendi dahili ağına istekler göndermesine neden olabilirdi. Commit, anonim çağıranların sunucunun dahili hedefe istek göndermesini ve yanıtı okumasını sağlayabildiğini açıkça belirtmektedir. Düzeltme, ana bilgisayar adlarını socket.getaddrinfo() kullanarak çözümler, çözümlenen her adresin genel olarak yönlendirilebilir olduğunu kontrol eder ve ayrıca etkilenen her iki MISP getirme/arama rotasına @login_required ekler.