CVE-2025-69993 — XSS in Leaflet bindPopup()

Cross-Site-Scripting-Schwachstelle in Leaflet <= 1.9.4. Die Methode bindPopup() rendert vom Benutzer bereitgestellte Eingaben ohne Bereinigung als rohes HTML, wodurch beliebiger JavaScript-Code ausgeführt werden kann.

Repository-Struktur

• ADVISORY.md — Vollständiges Security-Advisory mit Details zur Schwachstelle, Auswirkungsanalyse und empfohlenen Gegenmaßnahmen
• leaflet-xss-poc/ — Angular-Anwendung, die die Schwachstelle in einem realistischen Szenario demonstriert (Formulareingaben des Benutzers, die direkt an bindPopup() übergeben werden)

Schnellstart

cd leaflet-xss-poc
npm install
npm start

Öffnen Sie http://localhost:4200/, geben Sie `` im Feld „Description“ ein und klicken Sie auf „Add Marker“.