CVE-2026-91860
ŚrednieCVSS 6.3Streszczenie
W bibliotekach Vaadin Charts oraz Vaadin Component Base występuje podatność prototype pollution w mechanizmach głębokiego scalania obiektów (deep merge). Wstrzyknięcie niezaufanego obiektu do konfiguracji wykresu lub właściwości i18n komponentu powoduje zapis właściwości na Object.prototype, przez co stają się one widoczne dla wszystkich obiektów w działającej aplikacji.
Ocena ryzyka
Wstrzyknięte właściwości mogą zmienić zachowanie całej aplikacji, prowadząc do obejścia logiki biznesowej, eskalacji uprawnień lub innych nieprzewidzianych skutków bezpieczeństwa. Problem dotyczy wielu wersji Vaadin, w tym 23, 24 i 25.
Rekomendacja
Należy zaktualizować Vaadin do wersji zawierającej poprawkę: 23.6.14, 24.9.21, 24.10.10, 25.1.12 lub 25.2.7 (albo nowszej), odpowiednio do używanej gałęzi. Wersje 10-13 oraz 15-22 nie są już wspierane i wymagają aktualizacji do najnowszej wersji 23, 24 lub 25.
Inne podatności w Vaadin
Zobacz wszystkie- CVE-2025-15022Średnie
W Vaadin podpisy akcji (Action captions) domyślnie akceptują HTML, ale nie były sanityzowane, co może prowadzić do Cross-site Scripting (XSS), jeśli treść podpisu pochodzi z danych użytkownika. W Vaadin Framework 7 i 8 klasa Action jest ogólnego przeznaczenia, a w Vaadin 23 i nowszych używana tylko przez komponent Spreadsheet. Poprawione wersje sanityzują podpisy domyślnie i udostępniają API do jawnego włączenia trybu HTML.
- CVE-2025-9467Średnie
W komponencie Vaadin Upload, gdy listener start jest używany do walidacji metadanych przychodzącego przesłania, możliwe jest obejście walidacji uploadu. Podatność dotyczy wersji Vaadin 7.0.0-7.7.47, 8.0.0-8.28.1, 14.0.0-14.13.0, 23.0.0-23.6.1 oraz 24.0.0-24.7.6.
- CVE-2023-25500Niskie
W Vaadin w wielu wersjach istnieje podatność umożliwiająca ujawnienie informacji o nazwach klas i metod w odpowiedziach RPC poprzez wysyłanie zmodyfikowanych żądań.
- CVE-2023-25499Średnie
W Vaadin dodawanie niewidocznych komponentów do interfejsu po stronie serwera powoduje wysłanie ich zawartości do przeglądarki, co może prowadzić do ujawnienia informacji. Problem dotyczy wersji 10.0.0-10.0.22, 11.0.0-14.10.0, 15.0.0-22.0.28, 23.0.0-23.3.12, 24.0.0-24.0.5 oraz 24.1.0.alpha1-24.1.0.beta1.
- CVE-2022-29567Średnie
Domyślna konfiguracja komponentu TreeGrid w Vaadin używa Object::toString jako klucza w komunikacji klient-serwer, co może prowadzić do ujawnienia wartości, które nie powinny być dostępne po stronie klienta. Problem dotyczy wersji Vaadin 14.8.5-14.8.9, 22.0.6-22.0.14, 23.0.0.beta2-23.0.8 oraz 23.1.0.alpha1-23.1.0.alpha4.
Oryginalny opis (angielski, źródło NVD)
A prototype pollution vulnerability exists in the deep merge helpers of Vaadin Charts and Vaadin Component Base. Merging an object the application does not control into a chart configuration or into a component's i18n property writes onto Object.prototype, making the injected properties visible to every object in the running application. Users of affected versions should apply the following mitigation or upgrade. Releases that have fixed this issue include: Product version Vaadin 23.0.0 - 23.6.13 Vaadin 24.0.0 - 24.9.20 Vaadin 24.10.0 - 24.10.9 Vaadin 25.0.0 - 25.1.11 Vaadin 25.2.0 - 25.2.6 Mitigation Upgrade to 23.6.14 Upgrade to 24.9.21 Upgrade to 24.10.10 Upgrade to 25.1.12 Upgrade to 25.2.7 or newer Please note that Vaadin versions 10-13 and 15-22 are no longer supported and you should update either to the latest 23, 24, 25 version. Artifacts Maven coordinates Vulnerable versions Fixed version com.vaadin:vaadin 23.0.0 - 23.6.13 >=23.6.14 com.vaadin:vaadin 24.0.0 - 24.9.20 >=24.9.21 com.vaadin:vaadin 24.10.0 - 24.10.9 >=24.10.10 com.vaadin:vaadin 25.0.0 - 25.1.11 >=25.1.12 com.vaadin:vaadin 25.2.0 - 25.2.6 >=25.2.7 com.vaadin:vaadin-core 24.7.0 - 24.9.20 >=24.9.21 com.vaadin:vaadin-core 24.10.0 - 24.10.9 >=24.10.10 com.vaadin:vaadin-core 25.0.0 - 25.1.11 >=25.1.12 com.vaadin:vaadin-core 25.2.0 - 25.2.6 >=25.2.7 com.vaadin:vaadin-charts-flow 23.0.0 - 23.6.13 >=23.6.14 com.vaadin:vaadin-charts-flow 24.0.0 - 24.9.20 >=24.9.21 com.vaadin:vaadin-charts-flow 24.10.0 - 24.10.9 >=24.10.10 com.vaadin:vaadin-charts-flow 25.0.0 - 25.1.11 >=25.1.12 com.vaadin:vaadin-charts-flow 25.2.0 - 25.2.6 >=25.2.7 npm packages npm package Vulnerable versions Fixed version @vaadin/charts 23.0.0 - 23.6.4 >=23.6.5 @vaadin/charts 24.0.0 - 24.9.17 >=24.9.18 @vaadin/charts 24.10.0 - 24.10.4 >=24.10.5 @vaadin/charts 25.0.0 - 25.1.11 >=25.1.12 @vaadin/charts 25.2.0 - 25.2.8 >=25.2.9 @vaadin/component-base 24.7.0 - 24.9.17 >=24.9.18 @vaadin/component-base 24.10.0 - 24.10.4 >=24.10.5 @vaadin/component-base 25.0.0 - 25.1.11 >=25.1.12 @vaadin/component-base 25.2.0 - 25.2.8 >=25.2.9
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS