CVE-2025-62366

NiskieCVSS 2.9

Opublikowano: 14/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

mailgen to pakiet Node.js generujący responsywne e-maile HTML do wysyłki transakcyjnej. Wersje do 2.0.30 zawierają podatność HTML injection w e-mailach tekstowych tworzonych przez metodę generatePlaintext, gdy dostarczona jest treść generowana przez użytkownika. Funkcja próbuje usuwać tagi HTML, ale jeśli tagi są podane jako zakodowane encje HTML, nie są usuwane i później są dekodowane, co prowadzi do aktywnego HTML (np. tag img z obsługą zdarzeń) w rzekomo tekstowym wyniku. W kontekstach, gdzie wygenerowany tekst jest następnie renderowany jako HTML, może to pozwolić na wykonanie JavaScriptu kontrolowanego przez atakującego. Wersje 2.0.31 i późniejsze zawierają poprawkę. Nie są znane obejścia.

Ocena ryzyka

Wstrzyknięcie HTML może prowadzić do wykonania złośliwego JavaScriptu w przeglądarce odbiorcy, potencjalnie kradzieży danych sesji lub innych ataków. Może to zaszkodzić reputacji i bezpieczeństwu użytkowników.

Rekomendacja

Zaktualizuj mailgen do wersji 2.0.31 lub nowszej. Unikaj renderowania wygenerowanego tekstu jako HTML bez dodatkowej sanityzacji.

Inne podatności w mailgen

CVE-2025-62380Niskie
Mailgen (pakiet Node.js) do wersji 2.0.31 zawiera podatność na wstrzykiwanie HTML w wiadomościach tekstowych generowanych metodą generatePlaintext, gdy dostarczane są dane użytkownika. Znaczniki HTML z niektórymi znakami separatora linii Unicode nie są usuwane, co pozwala na pozostawienie nieoczekiwanego HTML w wyniku.

Oryginalny opis (angielski, źródło NVD)

mailgen is a Node.js package that generates responsive HTML e-mails for sending transactional mail. Mailgen versions through 2.0.30 contain an HTML injection vulnerability in plaintext emails produced by the generatePlaintext method when user‑generated content is supplied. The function attempts to remove HTML tags, but if tags are provided as encoded HTML entities they are not removed and are later decoded, resulting in active HTML (for example an img tag with an event handler) in the supposed plaintext output. In contexts where the generated plaintext string is subsequently rendered as HTML, this can allow execution of attacker‑controlled JavaScript. Versions 2.0.31 and later contain a fix. No known workarounds exist.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS