CVE-2025-65442
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność typu DOM-based XSS w novel V3.5.0 (201206030) umożliwia zdalnym atakującym wykonanie dowolnego kodu JavaScript lub ujawnienie wrażliwych informacji (np. ciasteczek sesji) poprzez spreparowany parametr "wvstest" w URL lub wstrzyknięcie złośliwego skryptu do window.localStorage. Problem wynika z niewystarczającej walidacji i kodowania danych w module komentarzy książek: niesfiltrowane dane wejściowe są przechowywane w bazie danych (tabela book_comment, pole commentContent) i zwracane przez API, a następnie renderowane bezpośrednio do DOM przez dyrektywę v-html w Vue 3 bez sanityzacji.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przejąć konta lub wykonać nieautoryzowane działania w kontekście przeglądarki ofiary, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się wdrożenie sanityzacji danych wejściowych i wyjściowych, unikanie używania v-html bez filtrowania, oraz stosowanie Content Security Policy (CSP) w celu ograniczenia skutków XSS.
Inne podatności w novel
Zobacz wszystkie- CVE-2026-123677Średnie
W aplikacji novel (xxyopen/201206030) do wersji 3.5.0 wykryto podatność w funkcji getBookChapter w pliku BookServiceImpl.java, obsługującej odczyt rozdziałów książki. Manipulacja argumentem chapterId pozwala na obejście autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-123676Średnie
W aplikacji novel (xxyopen/201206030) do wersji 3.5.0 wykryto podatność w funkcji BookServiceImpl.getBookContentAbout w pliku BookServiceImpl.java, odpowiedzialnej za obsługę treści książek. Manipulacja argumentem chapterId prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został ujawniony publicznie i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
DOM-based Cross-Site Scripting (XSS) vulnerability in 201206030 novel V3.5.0 allows remote attackers to execute arbitrary JavaScript code or disclose sensitive information (e.g., user session cookies) via a crafted "wvstest" parameter in the URL or malicious script injection into window.localStorage. The vulnerability arises from insufficient validation and encoding of user-controllable data in the book comment module: unfiltered user input is stored in the backend database (book_comment table, commentContent field) and returned via API, then rendered directly into the page DOM via Vue 3's v-html directive without sanitization. Even if modern browsers' built-in XSS filters block pop-up alerts, attackers can use concealed payloads to bypass interception and achieve actual harm.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS