CVE-2025-69993 — Leaflet bindPopup() のXSS

Leaflet <= 1.9.4 におけるクロスサイトスクリプティング（XSS）の脆弱性。bindPopup() メソッドは、ユーザー指定の入力をサニタイズせずに生のHTMLとして描画するため、任意のJavaScriptが実行される可能性があります。

リポジトリ構造

• ADVISORY.md — 脆弱性の詳細、影響分析、推奨される緩和策を含む完全なセキュリティアドバイザリ
• leaflet-xss-poc/ — 現実的なシナリオで脆弱性を実証するAngularアプリケーション（ユーザーフォームの入力が直接 bindPopup() に渡される）

クイックスタート

cd leaflet-xss-poc
npm install
npm start

http://localhost:4200/ を開き、「Description」フィールドに `` と入力し、「Add Marker」をクリックします。