CVE-2025-66563
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Monkeytype w wersji 25.49.0 i wcześniejszych nieprawidłowo obsługuje dane wejściowe użytkownika, co pozwala atakującemu na wykonanie złośliwego kodu JavaScript u każdego, kto wyświetli złośliwe zgłoszenie cytatu. Pola quote.text i quote.source są danymi użytkownika i są wstawiane bezpośrednio do DOM; jeśli zawierają znaczniki HTML, zostaną wyrenderowane (po częściowym escapowaniu za pomocą cudzysłowów i tagów textarea).
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce osób przeglądających złośliwe cytaty, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy wszystkich użytkowników serwisu Monkeytype.
Rekomendacja
Zaktualizuj Monkeytype do wersji nowszej niż 25.49.0, która zawiera poprawkę. Do czasu aktualizacji rozważ ograniczenie możliwości zgłaszania cytatów lub wdrożenie dodatkowej walidacji danych wejściowych.
Inne podatności w Monkeytype
Zobacz wszystkie- CVE-2026-69183Wysokie
Monkeytype w wersji 26.26.0 i wcześniejszych ma podatność w generatorze kluczy rate-limit, który używa nagłówków kontrolowanych przez klienta (cf-connecting-ip i x-forwarded-for) przed wartością req.ip. Nieuwierzytelniony atakujący może obracać te nagłówki, aby ominąć ograniczenia rate-limitu, co pozwala na wielokrotne wysyłanie żądań do endpointów takich jak forgotPasswordEmail i verificationEmail, powodując mail bombing, wyczerpanie limitów Firebase/SMTP i unikanie ochrony brute-force.
- CVE-2025-59838Średnie
Monkeytype, aplikacja do testów pisania, ma podatność XSS wynikającą z nieprawidłowego obsługiwania danych wejściowych użytkownika podczas ładowania zapisanego niestandardowego tekstu. Dotyczy wersji 25.36.0 i wcześniejszych; poprawka w wersji 25.44.0.
Oryginalny opis (angielski, źródło NVD)
Monkeytype is a minimalistic and customizable typing test. In 25.49.0 and earlier, there is improper handling of user input which allows an attacker to execute malicious javascript on anyone viewing a malicious quote submission. quote.text and quote.source are user input, and they're inserted straight into the DOM. If they contain HTML tags, they will be rendered (after some escaping using quotes and textarea tags).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS