CVE-2023-25500

W bibliotekach Vaadin Charts oraz Vaadin Component Base występuje podatność prototype pollution w mechanizmach głębokiego scalania obiektów (deep merge). Wstrzyknięcie niezaufanego obiektu do konfiguracji wykresu lub właściwości i18n komponentu powoduje zapis właściwości na Object.prototype, przez co stają się one widoczne dla wszystkich obiektów w działającej aplikacji.

W Vaadin podpisy akcji (Action captions) domyślnie akceptują HTML, ale nie były sanityzowane, co może prowadzić do Cross-site Scripting (XSS), jeśli treść podpisu pochodzi z danych użytkownika. W Vaadin Framework 7 i 8 klasa Action jest ogólnego przeznaczenia, a w Vaadin 23 i nowszych używana tylko przez komponent Spreadsheet. Poprawione wersje sanityzują podpisy domyślnie i udostępniają API do jawnego włączenia trybu HTML.

W komponencie Vaadin Upload, gdy listener start jest używany do walidacji metadanych przychodzącego przesłania, możliwe jest obejście walidacji uploadu. Podatność dotyczy wersji Vaadin 7.0.0-7.7.47, 8.0.0-8.28.1, 14.0.0-14.13.0, 23.0.0-23.6.1 oraz 24.0.0-24.7.6.

W Vaadin dodawanie niewidocznych komponentów do interfejsu po stronie serwera powoduje wysłanie ich zawartości do przeglądarki, co może prowadzić do ujawnienia informacji. Problem dotyczy wersji 10.0.0-10.0.22, 11.0.0-14.10.0, 15.0.0-22.0.28, 23.0.0-23.3.12, 24.0.0-24.0.5 oraz 24.1.0.alpha1-24.1.0.beta1.

Domyślna konfiguracja komponentu TreeGrid w Vaadin używa Object::toString jako klucza w komunikacji klient-serwer, co może prowadzić do ujawnienia wartości, które nie powinny być dostępne po stronie klienta. Problem dotyczy wersji Vaadin 14.8.5-14.8.9, 22.0.6-22.0.14, 23.0.0.beta2-23.0.8 oraz 23.1.0.alpha1-23.1.0.alpha4.