Vuetify VCalendar XSS 취약점 POC (CVE-2025-1461)

이 저장소는 Vuetify의 VCalendar 컴포넌트, 특히 eventMoreText prop에서 발견된 XSS 취약점을 증명하는 개념 증명(POC)을 포함하고 있습니다.

취약점 세부 정보

• CVE ID: CVE-2025-1461
• 영향받는 버전: >=2.0.0 <3.0.0
• 심각도: 중간 (4.6)
• 카테고리: 크로스 사이트 스크립팅 (XSS)

사전 요구 사항

• Node.js (v14-16)
• npm

설치

1. 이 저장소를 클론합니다:

git clone https://github.com/neverendingsupport/nes-vuetify-cve-2025-1461
cd nes-vuetify-pocs

2. 의존성을 설치합니다:

npm install

POC 실행

1. 개발 서버를 시작합니다:

npm run dev

2. 브라우저를 열고 http://localhost:3000으로 이동합니다.

취약점 이해

이 POC는 VCalendar 컴포넌트의 eventMoreText prop을 통해 악성 HTML/JavaScript가 어떻게 주입될 수 있는지 보여줍니다. 표시할 수 있는 이벤트보다 더 많은 이벤트가 있을 때 캘린더는 임의의 JavaScript 코드를 실행할 수 있는 "more events" 링크를 표시합니다.

관련 링크

• Vuetify 문서
• Vuetify Calendar API
• Vuetify NES
• CVE-2025-1461 세부 정보