CVE-2025-8082

ŚrednieCVSS 6.3

Opublikowano: 12/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Komponent VDatePicker w Vuetify w wersjach od 2.0.0 do 3.0.0 nie neutralizuje tytułu daty, co pozwala na wstrzyknięcie nieprzesanizowanego HTML do strony. Atakujący może wykorzystać właściwość 'title-date-format' do przekazania funkcji, której wynik jest przypisywany do innerHTML bez sanityzacji, prowadząc do ataku XSS.

Ocena ryzyka

Ryzyko przejęcia sesji użytkownika, kradzieży danych lub wykonania nieautoryzowanych działań w przeglądarce ofiary. Wersje 2.x są End-of-Life i nie otrzymają poprawek, co zwiększa ekspozycję.

Rekomendacja

Zalecane jest natychmiastowe przejście na Vuetify 3.x lub nowsze, ponieważ wersje 2.x nie będą aktualizowane. Dodatkowo należy zastosować środki ochronne, takie jak filtrowanie danych wejściowych i wyjściowych.

Inne podatności w Vuetify

CVE-2025-8083Wysokie
Funkcja presetów w Vuetify jest podatna na zanieczyszczenie prototypu (Prototype Pollution) z powodu wewnętrznej funkcji 'mergeDeep' używanej do łączenia opcji z wartościami domyślnymi. Specjalnie spreparowany, złośliwy preset może zanieczyścić wszystkie obiekty JavaScript dowolnymi właściwościami, co negatywnie wpływa na zachowanie aplikacji i może prowadzić do wyczerpania zasobów, odmowy usługi lub nieautoryzowanego dostępu do danych. Jeśli aplikacja używa renderowania po stronie serwera (SSR), podatność może wpłynąć na cały proces serwera. Problem dotyczy wersji Vuetify od 2.2.0-beta.2 do 3.0.0-alpha.10 (włącznie).

Oryginalny opis (angielski, źródło NVD)

Improper neutralization of the title date in the 'VDatePicker' component in Vuetify, allows unsanitized HTML to be inserted into the page. This can lead to a Cross-Site Scripting (XSS) https://owasp.org/www-community/attacks/xss attack. The vulnerability occurs because the 'title-date-format' property of the 'VDatePicker' can accept a user created function and assign its output to the 'innerHTML' property of the title element without sanitization. This issue affects Vuetify versions greater than or equal to 2.0.0 and less than 3.0.0. Note: Version 2.x of Vuetify is End-of-Life and will not receive any updates to address this issue. For more information see here https://v2.vuetifyjs.com/en/about/eol/ .

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS