PT-2026-69847 · Unknown+1 · Cti-Transmute+1
CVSS v4.0
5.1
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
CTI-Transmute (versões afetadas não especificadas)
Description
Um problema de cross-site scripting (XSS) armazenado existe no grafo de conversão usado para visualizar conteúdo MISP e STIX. Valores controlados por atacantes originados de dados CTI convertidos são passados para sinks de análise HTML na interface do usuário do grafo sem a neutralização suficiente. Especificamente, rótulos de nós, subrótulos de nós, rótulos de arestas, propriedades de nós, propriedades de arestas e tipos de nós podem conter HTML ou JavaScript manipulados. A biblioteca de grafo Pivotick renderiza esses valores por meio de operações de análise HTML, permitindo que elementos maliciosos com manipuladores de eventos sejam interpretados como marcação. Adicionalmente, a funcionalidade Open raw JSON utiliza
document.write() com uma string HTML interpolada, permitindo que JSON manipulado injete marcação executável. Outros vetores existem no painel de propriedades do grafo, onde a função tryResolveHTMLElement processa valores de string usando template.innerHTML, levando à execução quando um nó do grafo é selecionado ou passa o mouse sobre ele.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Como medida de mitigação, implemente as seguintes alterações:
- Realize o escape HTML de rótulos de nós, subrótulos de nós e rótulos de arestas antes de passá-los para o Pivotick.
- Restrinja os valores de tipo de nó do grafo a um conjunto de caracteres de identificador seguro.
- Envolva os valores de propriedades de nós e arestas em elementos DOM povoados através de
textContentpara evitar que sejam tratados como HTML. - Substitua o
document.write()interpolado no popup de JSON bruto por construção de DOM etextContent.
Exploit
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cti-Transmute
Pivotick