CVE-2025-69993 — Leaflet bindPopup() में XSS

Leaflet <= 1.9.4 में क्रॉस-साइट स्क्रिप्टिंग भेद्यता। bindPopup() विधि उपयोगकर्ता-आपूर्ति इनपुट को बिना सैनिटाइज़ेशन के रॉ HTML के रूप में प्रस्तुत करती है, जिससे मनमाना JavaScript निष्पादन संभव हो जाता है।

रिपॉजिटरी संरचना

• ADVISORY.md — भेद्यता विवरण, प्रभाव विश्लेषण और अनुशंसित शमन उपायों सहित पूर्ण सुरक्षा सलाह
• leaflet-xss-poc/ — एंगुलर एप्लिकेशन जो यथार्थवादी परिदृश्य में भेद्यता का प्रदर्शन करता है (उपयोगकर्ता फ़ॉर्म इनपुट सीधे bindPopup() को पास किया जाता है)

त्वरित आरंभ

cd leaflet-xss-poc
npm install
npm start

http://localhost:4200/ खोलें, Description फ़ील्ड में `` दर्ज करें, और "Add Marker" पर क्लिक करें।