Vulnerabilidad en Vuetify de N/A (CVE-2025-8082)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

12/12/2025

Última modificación:

07/10/2026

Descripción

La neutralización incorrecta de la fecha del título en el componente &#39;VDatePicker&#39; en Vuetify permite que HTML no saneado sea insertado en la página. Esto puede llevar a un ataque de cross-site scripting (XSS) https://owasp.org/www-community/attacks/xss. La vulnerabilidad ocurre porque la propiedad &#39;title-date-format&#39; del &#39;VDatePicker&#39; puede aceptar una función creada por el usuario y asignar su salida a la propiedad &#39;innerHTML&#39; del elemento del título sin saneamiento. Este problema afecta a las versiones de Vuetify mayores o iguales a 2.0.0 y menores a 3.0.0. Nota: La versión 2.x de Vuetify ha llegado al fin de su vida útil y no recibirá ninguna actualización para abordar este problema. Para más información, consulte aquí https://v2.vuetifyjs.com/en/about/eol/.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

6.30

Gravedad 3.x

MEDIA

Vulnerabilidad en Vuetify de N/A (CVE-2025-8082)

Descripción

Impacto

Referencias a soluciones, herramientas e información