CVE-2026-9806

总结

在已修补版本之前的版本中，CTI Transmute 的通知面板存在存储型跨站脚本（XSS）漏洞。包含用户可控转换名称的通知消息在通知铃铛下拉菜单中通过 innerHTML 渲染，且未进行充分的清理。能够创建或影响通知中所包含转换名称的攻击者可以注入任意 JavaScript，当已认证用户打开通知面板时，该脚本将在其浏览器中执行。成功利用该漏洞可能允许攻击者在受害者的会话中执行操作，或访问浏览器上下文中应用程序可用的信息。该问题已通过使用 DOM 方法构建通知元素，并使用 textContent 而非 innerHTML 分配通知消息内容的方式得到修复。此漏洞仅存在于开发分支中。

• CVE-2026-9806信息

  CVE-2026-9806 是一个影响 CTI Transmute 修补版本之前版本（prior to the patched release）的存储型跨站脚本（Stored XSS）漏洞。