Vulnerabilidad en vulnerability-lookup de CIRCL (CVE-2025-60249)

vulnerability-lookup 2.16.0 permite XSS en bundle.py, comment.py y user.py, por un usuario en una instancia de vulnerability-lookup que puede añadir bundles, comentarios o avistamientos. Se descubrió una vulnerabilidad de cross-site scripting (XSS) en el manejo de la entrada proporcionada por el usuario en los componentes de Bundles, Comments y Sightings. Los datos no confiables no se sanitizaron correctamente antes de ser renderizados en plantillas y tablas, lo que podría permitir a los atacantes inyectar JavaScript arbitrario en la aplicación. El problema se debió a un uso inseguro de innerHTML y una validación insuficiente de URL dinámicas y campos de modelo. Esta vulnerabilidad se ha corregido mediante el escape de datos no confiables, reemplazando las asignaciones de innerHTML con métodos DOM más seguros, codificando URL con encodeURIComponent y mejorando la validación de entrada en los modelos afectados.