Vuetify VCalendar XSS 漏洞 POC (CVE-2025-1461)

本仓库包含一个概念验证（POC），演示 Vuetify 的 VCalendar 组件中 eventMoreText 属性存在的 XSS 漏洞。

漏洞详情

• CVE 编号：CVE-2025-1461
• 受影响版本：>=2.0.0 <3.0.0
• 严重程度：中危 (4.6)
• 类别：跨站脚本 (XSS)

环境要求

• Node.js (v14-16)
• npm

安装

1. 克隆此仓库：

git clone https://github.com/neverendingsupport/nes-vuetify-cve-2025-1461
cd nes-vuetify-pocs

2. 安装依赖：

npm install

运行 POC

1. 启动开发服务器：

npm run dev

2. 打开浏览器并访问 http://localhost:3000

漏洞原理

该 POC 演示了如何通过 VCalendar 组件的 eventMoreText 属性注入恶意 HTML/JavaScript。当事件数量超过可显示范围时，日历会显示一个“更多事件”链接，该链接可执行任意 JavaScript 代码。

相关链接

• Vuetify 文档
• Vuetify 日历 API
• Vuetify NES
• CVE-2025-1461 详情