CVE-2025-65026

ŚrednieCVSS 6.1

Opublikowano: 19/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.48%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

esm.sh przed wersją 136 zawiera podatność na wstrzyknięcie wyrażeń szablonowych (CWE-94) w konwersji CSS do modułu JavaScript. Złośliwy kod JavaScript wstawiony przez wyrażenia ${...} w plikach CSS wykonuje się przy imporcie modułu, umożliwiając XSS w przeglądarkach i RCE w aplikacjach Electron.

Ocena ryzyka

Aplikacje importujące moduły z esm.sh mogą zostać zaatakowane przez XSS lub zdalne wykonanie kodu, co grozi przejęciem przeglądarki lub aplikacji Electron.

Rekomendacja

Zaktualizuj esm.sh do wersji 136 lub nowszej.

Inne podatności w esm.sh

CVE-2025-65025Wysokie
Usługa CDN esm.sh przed wersją 136 jest podatna na path traversal podczas rozpakowywania archiwów pakietów NPM. Atakujący może spreparować pakiet NPM zawierający ścieżki plików takie jak package/../../tmp/evil.js, powodując zapis plików poza katalogiem docelowym.

Oryginalny opis (angielski, źródło NVD)

esm.sh is a nobuild content delivery network(CDN) for modern web development. Prior to version 136, The esm.sh CDN service contains a Template Literal Injection vulnerability (CWE-94) in its CSS-to-JavaScript module conversion feature. When a CSS file is requested with the ?module query parameter, esm.sh converts it to a JavaScript module by embedding the CSS content directly into a template literal without proper sanitization. An attacker can inject malicious JavaScript code using ${...} expressions within CSS files, which will execute when the module is imported by victim applications. This enables Cross-Site Scripting (XSS) in browsers and Remote Code Execution (RCE) in Electron applications. This issue has been patched in version 136.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS