leaflet-cve-2025-69993 — Proof-of-concept for CVE-2025-69993: Cross-Site Scripting in Leaflet's bindPopup() method. Includes advisory, impact analysis, and a demo Angular application to reproduce the vulnerability. | Kitploit

CVE-2025-69993 — Leaflet bindPopup() 中的 XSS 漏洞

Leaflet <= 1.9.4 中存在跨站脚本攻击（XSS）漏洞。 bindPopup() 方法将用户提供的输入直接渲染为原始 HTML 而不进行清理，从而允许任意 JavaScript 代码执行。

仓库结构

ADVISORY.md — 完整安全公告，包含漏洞详情、影响分析及推荐缓解措施
leaflet-xss-poc/ — Angular 应用，在真实场景中演示该漏洞（用户表单输入直接传递给 bindPopup()）

快速开始

cd leaflet-xss-poc
npm install
npm start

打开 http://localhost:4200/，在「描述」字段中输入 ``，然后点击「添加标记」。