CVE-2025-15022
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W Vaadin podpisy akcji (Action captions) domyślnie akceptują HTML, ale nie były sanityzowane, co może prowadzić do Cross-site Scripting (XSS), jeśli treść podpisu pochodzi z danych użytkownika. W Vaadin Framework 7 i 8 klasa Action jest ogólnego przeznaczenia, a w Vaadin 23 i nowszych używana tylko przez komponent Spreadsheet. Poprawione wersje sanityzują podpisy domyślnie i udostępniają API do jawnego włączenia trybu HTML.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary, prowadząc do kradzieży sesji lub danych. Zagrożenie dotyczy aplikacji Vaadin, które wyświetlają podpisy akcji pochodzące od użytkowników.
Rekomendacja
Zaktualizuj Vaadin do wersji: 7.7.50, 8.30.0, 23.6.6, 24.8.14, 24.9.7 lub 25.0.0 i nowszej. Jeśli aktualizacja nie jest możliwa, zastosuj obejście polegające na sanityzacji treści podpisów po stronie aplikacji.
Inne podatności w Vaadin
Zobacz wszystkie- CVE-2026-91860Średnie
W bibliotekach Vaadin Charts oraz Vaadin Component Base występuje podatność prototype pollution w mechanizmach głębokiego scalania obiektów (deep merge). Wstrzyknięcie niezaufanego obiektu do konfiguracji wykresu lub właściwości i18n komponentu powoduje zapis właściwości na Object.prototype, przez co stają się one widoczne dla wszystkich obiektów w działającej aplikacji.
- CVE-2025-9467Średnie
W komponencie Vaadin Upload, gdy listener start jest używany do walidacji metadanych przychodzącego przesłania, możliwe jest obejście walidacji uploadu. Podatność dotyczy wersji Vaadin 7.0.0-7.7.47, 8.0.0-8.28.1, 14.0.0-14.13.0, 23.0.0-23.6.1 oraz 24.0.0-24.7.6.
- CVE-2023-25500Niskie
W Vaadin w wielu wersjach istnieje podatność umożliwiająca ujawnienie informacji o nazwach klas i metod w odpowiedziach RPC poprzez wysyłanie zmodyfikowanych żądań.
- CVE-2023-25499Średnie
W Vaadin dodawanie niewidocznych komponentów do interfejsu po stronie serwera powoduje wysłanie ich zawartości do przeglądarki, co może prowadzić do ujawnienia informacji. Problem dotyczy wersji 10.0.0-10.0.22, 11.0.0-14.10.0, 15.0.0-22.0.28, 23.0.0-23.3.12, 24.0.0-24.0.5 oraz 24.1.0.alpha1-24.1.0.beta1.
- CVE-2022-29567Średnie
Domyślna konfiguracja komponentu TreeGrid w Vaadin używa Object::toString jako klucza w komunikacji klient-serwer, co może prowadzić do ujawnienia wartości, które nie powinny być dostępne po stronie klienta. Problem dotyczy wersji Vaadin 14.8.5-14.8.9, 22.0.6-22.0.14, 23.0.0.beta2-23.0.8 oraz 23.1.0.alpha1-23.1.0.alpha4.
Oryginalny opis (angielski, źródło NVD)
Action captions in Vaadin accept HTML by default but were not sanitized, potentially allowing Cross-site Scripting (XSS) if caption content is derived from user input. In Vaadin Framework 7 and 8, the Action class is a general-purpose class that may be used by multiple components. The fixed versions sanitize captions by default and provide an API to explicitly enable HTML content mode for backwards compatibility. In Vaadin 23 and newer, the Action class is only used by the Spreadsheet component. The fixed versions sanitize HTML using Jsoup with a relaxed safelist. Vaadin 14 is not affected as Spreadsheet component was not supported. Users of affected versions should apply the following mitigation or upgrade. Releases that have fixed this issue include: Product version Vaadin 7.0.0 - 7.7.49 Vaadin 8.0.0 - 8.29.1 Vaadin 23.1.0 - 23.6.5 Vaadin 24.0.0 - 24.8.13 Vaadin 24.9.0 - 24.9.6 Mitigation Upgrade to 7.7.50 Upgrade to 8.30.0 Upgrade to 23.6.6 Upgrade to 24.8.14 or 24.9.7 Upgrade to 25.0.0 or newer Artifacts Maven coordinatesVulnerable versionsFixed versioncom.vaadin:vaadin-server 7.0.0 - 7.7.49 ≥7.7.50 com.vaadin:vaadin-server 8.0.0 - 8.29.1 ≥8.30.0 com.vaadin:vaadin 23.1.0 - 23.6.5 ≥23.6.6 com.vaadin:vaadin24.0.0 - 24.8.13 ≥24.8.14 com.vaadin:vaadin24.9.0 - 24.9.6 ≥24.9.7 com.vaadin:vaadin-spreadsheet-flow 23.1.0 - 23.6.5 ≥23.6.6 com.vaadin:vaadin-spreadsheet-flow 24.0.0 - 24.8.13 ≥24.8.14 com.vaadin:vaadin-spreadsheet-flow 24.9.0 - 24.9.6 ≥24.9.7
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS