Vuetify VCalendar XSS Vulnerability POC (CVE-2025-1461)

Этот репозиторий содержит proof of concept, демонстрирующий XSS-уязвимость в компоненте VCalendar библиотеки Vuetify, а именно в свойстве eventMoreText.

Детали уязвимости

• CVE ID: CVE-2025-1461
• Затронутые версии: >=2.0.0 <3.0.0
• Серьезность: Средняя (4.6)
• Категория: Межсайтовый скриптинг (XSS)

Предварительные требования

• Node.js (v14-16)
• npm

Установка

1. Клонируйте этот репозиторий:

git clone https://github.com/neverendingsupport/nes-vuetify-cve-2025-1461
cd nes-vuetify-pocs

2. Установите зависимости:

npm install

Запуск POC

1. Запустите сервер разработки:

npm run dev

2. Откройте браузер и перейдите по адресу http://localhost:3000

Понимание уязвимости

POC демонстрирует, как вредоносный HTML/JavaScript может быть внедрен через свойство eventMoreText компонента VCalendar. Когда событий больше, чем может быть отображено, календарь показывает ссылку "more events", которая может выполнять произвольный JavaScript-код.

Связанные ссылки

• Документация Vuetify
• API календаря Vuetify
• Vuetify NES
• Подробности CVE-2025-1461