POC de vulnerabilidad XSS en Vuetify VCalendar (CVE-2025-1461)

Este repositorio contiene una prueba de concepto que demuestra la vulnerabilidad XSS en el componente VCalendar de Vuetify, específicamente en la prop eventMoreText.

Detalles de la vulnerabilidad

• CVE ID: CVE-2025-1461
• Versiones afectadas: >=2.0.0 <3.0.0
• Gravedad: Media (4.6)
• Categoría: Cross-Site Scripting (XSS)

Requisitos previos

• Node.js (v14-16)
• npm

Instalación

1. Clona este repositorio:

git clone https://github.com/neverendingsupport/nes-vuetify-cve-2025-1461
cd nes-vuetify-pocs

2. Instala las dependencias:

npm install

Ejecución del POC

1. Inicia el servidor de desarrollo:

npm run dev

2. Abre tu navegador y ve a http://localhost:3000

Entendiendo la vulnerabilidad

El POC demuestra cómo se puede inyectar HTML/JavaScript malicioso a través de la prop eventMoreText del componente VCalendar. Cuando hay más eventos de los que se pueden mostrar, el calendario muestra un enlace de "más eventos" que puede ejecutar código JavaScript arbitrario.

Enlaces relacionados

• Documentación de Vuetify
• API de Vuetify Calendar
• Vuetify NES
• Detalles de CVE-2025-1461