CVE-2025-59838
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Monkeytype, aplikacja do testów pisania, ma podatność XSS wynikającą z nieprawidłowego obsługiwania danych wejściowych użytkownika podczas ładowania zapisanego niestandardowego tekstu. Dotyczy wersji 25.36.0 i wcześniejszych; poprawka w wersji 25.44.0.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj Monkeytype do wersji 25.44.0 lub nowszej, która zawiera poprawkę tej luki.
Inne podatności w Monkeytype
Zobacz wszystkie- CVE-2026-69183Wysokie
Monkeytype w wersji 26.26.0 i wcześniejszych ma podatność w generatorze kluczy rate-limit, który używa nagłówków kontrolowanych przez klienta (cf-connecting-ip i x-forwarded-for) przed wartością req.ip. Nieuwierzytelniony atakujący może obracać te nagłówki, aby ominąć ograniczenia rate-limitu, co pozwala na wielokrotne wysyłanie żądań do endpointów takich jak forgotPasswordEmail i verificationEmail, powodując mail bombing, wyczerpanie limitów Firebase/SMTP i unikanie ochrony brute-force.
- CVE-2025-66563Średnie
Monkeytype w wersji 25.49.0 i wcześniejszych nieprawidłowo obsługuje dane wejściowe użytkownika, co pozwala atakującemu na wykonanie złośliwego kodu JavaScript u każdego, kto wyświetli złośliwe zgłoszenie cytatu. Pola quote.text i quote.source są danymi użytkownika i są wstawiane bezpośrednio do DOM; jeśli zawierają znaczniki HTML, zostaną wyrenderowane (po częściowym escapowaniu za pomocą cudzysłowów i tagów textarea).
Oryginalny opis (angielski, źródło NVD)
Monkeytype is a minimalistic and customizable typing test. In versions 25.36.0 and prior, improper handling of user input when loading a saved custom text results in XSS. This issue has been fixed in version 25.44.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS