b1tbreaker/cve-2025-56795Vulnerabilidad de Cross-Site Scripting (XSS) almacenado que afecta la funcionalidad de creación de recetas en Mealie versiones hasta la 3.0.1.
Se identificaron dos vulnerabilidades de Cross-Site Scripting (XSS) almacenado en la funcionalidad de creación de recetas de Mealie, afectando a todas las versiones hasta la 3.0.1 inclusive.
La entrada de usuario no saneada proporcionada durante la creación de recetas se almacena y posteriormente se renderiza en el frontend sin el escape adecuado, lo que provoca XSS persistente.
Durante la creación de una nueva receta, los siguientes campos son vulnerables:
Notas del ingrediente (parámetro note):
La entrada en este campo se almacena y posteriormente se renderiza en la vista de detalle de la receta, permitiendo la ejecución de cargas útiles JavaScript inyectadas.
Texto de instrucción (parámetro text):
La entrada en este campo también se almacena y se renderiza en la vista de detalle de la receta, lo que provoca la ejecución de JavaScript al visualizar la receta.
Captura de pantalla mostrando los parámetros vulnerables en la respuesta JSON tras crear una nueva receta:
Alerta del navegador activada mediante el parámetro note (“Primer XSS almacenado”):
Alerta del navegador activada mediante el parámetro text (“Segundo XSS almacenado”):
