Vulnerabilidad en Vega (CVE-2025-25304)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
14/02/2025
Última modificación:
14/02/2025
Descripción
Vega es una gramática de visualización, un formato declarativo para crear, guardar y compartir diseños de visualización interactivos. Antes de la versión 5.26.0 de vega y 5.4.2 de vega-selections, la función `vlSelectionTuples` se puede utilizar para llamar a funciones de JavaScript, lo que conduce a Cross Site Scripting. `vlSelectionTuples` llama a múltiples funciones que pueden ser controladas por un atacante, incluida una llamada con un argumento controlado por el atacante. Esto se puede utilizar para llamar a `Function()` con JavaScript arbitrario y la función resultante se puede llamar con `vlSelectionTuples` o utilizando una coerción de tipo para llamar a `toString` o `valueOf`. La versión 5.26.0 de vega y 5.4.2 de vega-selections solucionan este problema.
Impacto
Puntuación base 4.0
6.90
Gravedad 4.0
MEDIA