CVE-2025-69993 — XSS dans Leaflet bindPopup()

Vulnérabilité Cross-Site Scripting dans Leaflet <= 1.9.4. La méthode bindPopup() rend l'entrée fournie par l'utilisateur comme du HTML brut sans assainissement, permettant l'exécution de JavaScript arbitraire.

Structure du dépôt

• ADVISORY.md — Avis de sécurité complet avec les détails de la vulnérabilité, analyse d'impact et atténuations recommandées
• leaflet-xss-poc/ — Application Angular qui démontre la vulnérabilité dans un scénario réaliste (entrée de formulaire utilisateur passée directement à bindPopup())

Démarrage rapide

cd leaflet-xss-poc
npm install
npm start

Ouvrez http://localhost:4200/, entrez `` dans le champ Description, et cliquez sur "Add Marker".