sahiloj/cve-2025-5352Dimostra una vulnerabilità XSS memorizzata nel componente Analytics di lunary-ai/lunary, dove l'iniezione non sanificata di NEXT_PUBLIC_CUSTOM_SCRIPT porta all'esecuzione di JavaScript arbitrario nei browser degli utenti.
CVE-2025-5352
È stata identificata una vulnerabilità di Cross-Site Scripting (XSS) memorizzato nel componente Analytics di lunary-ai/lunary. Il problema deriva dal fatto che la variabile NEXT_PUBLIC_CUSTOM_SCRIPT viene iniettata direttamente nel DOM utilizzando dangerouslySetInnerHTML senza una corretta sanificazione o validazione.
Se un attaccante riesce a controllare questa variabile, sia durante il processo di deployment sia tramite un compromissione del server, può iniettare codice JavaScript arbitrario. Questo script dannoso verrebbe eseguito nei browser di tutti gli utenti che accedono all'applicazione interessata, potenzialmente portando a dirottamento della sessione, furto di credenziali o altri attacchi lato client.
