CVE-2025-69993 — XSS в Leaflet bindPopup()

Уязвимость межсайтового скриптинга (XSS) в Leaflet <= 1.9.4. Метод bindPopup() отображает введённые пользователем данные как сырой HTML без санитизации, что позволяет выполнять произвольный JavaScript.

Структура репозитория

• ADVISORY.md — Полное уведомление о безопасности с деталями уязвимости, анализом воздействия и рекомендуемыми мерами по смягчению
• leaflet-xss-poc/ — Angular-приложение, демонстрирующее уязвимость в реалистичном сценарии (ввод данных из формы пользователя напрямую передаётся в bindPopup())

Быстрый старт

cd leaflet-xss-poc
npm install
npm start

Откройте http://localhost:4200/, введите `` в поле Description и нажмите "Добавить маркер".