POC de la vulnérabilité XSS Vuetify VCalendar (CVE-2025-1461)

Ce dépôt contient une preuve de concept démontrant la vulnérabilité XSS dans le composant VCalendar de Vuetify, plus précisément dans la propriété eventMoreText.

Détails de la vulnérabilité

• Identifiant CVE : CVE-2025-1461
• Versions concernées : >=2.0.0 <3.0.0
• Sévérité : Moyenne (4.6)
• Catégorie : Cross-Site Scripting (XSS)

Prérequis

• Node.js (v14-16)
• npm

Installation

1. Clonez ce dépôt :

git clone https://github.com/neverendingsupport/nes-vuetify-cve-2025-1461
cd nes-vuetify-pocs

2. Installez les dépendances :

npm install

Exécution du POC

1. Démarrez le serveur de développement :

npm run dev

2. Ouvrez votre navigateur et accédez à http://localhost:3000

Comprendre la vulnérabilité

Ce POC démontre comment du HTML/JavaScript malveillant peut être injecté via la propriété eventMoreText du composant VCalendar. Lorsqu'il y a plus d'événements que ce qui peut être affiché, le calendrier affiche un lien « plus d'événements » qui peut exécuter du code JavaScript arbitraire.

Liens associés

• Documentation Vuetify
• API Calendar de Vuetify
• Vuetify NES
• Détails de CVE-2025-1461