CVE-2025-62380
NiskieCVSS 2.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Mailgen (pakiet Node.js) do wersji 2.0.31 zawiera podatność na wstrzykiwanie HTML w wiadomościach tekstowych generowanych metodą generatePlaintext, gdy dostarczane są dane użytkownika. Znaczniki HTML z niektórymi znakami separatora linii Unicode nie są usuwane, co pozwala na pozostawienie nieoczekiwanego HTML w wyniku.
Ocena ryzyka
Jeśli dane wyjściowe są renderowane w kontekście HTML, atakujący może wykonać skrypt w przeglądarce ofiary, co prowadzi do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj pakiet mailgen do wersji 2.0.32 lub nowszej, która naprawia problem.
Inne podatności w mailgen
Zobacz wszystkie- CVE-2025-62366Niskie
mailgen to pakiet Node.js generujący responsywne e-maile HTML do wysyłki transakcyjnej. Wersje do 2.0.30 zawierają podatność HTML injection w e-mailach tekstowych tworzonych przez metodę generatePlaintext, gdy dostarczona jest treść generowana przez użytkownika. Funkcja próbuje usuwać tagi HTML, ale jeśli tagi są podane jako zakodowane encje HTML, nie są usuwane i później są dekodowane, co prowadzi do aktywnego HTML (np. tag img z obsługą zdarzeń) w rzekomo tekstowym wyniku. W kontekstach, gdzie wygenerowany tekst jest następnie renderowany jako HTML, może to pozwolić na wykonanie JavaScriptu kontrolowanego przez atakującego. Wersje 2.0.31 i późniejsze zawierają poprawkę. Nie są znane obejścia.
- CVE-2025-59526Niskie
Mailgen, pakiet Node.js do generowania responsywnych e-maili HTML, przed wersją 2.0.30 zawiera podatność na wstrzykiwanie HTML w e-mailach tekstowych generowanych przez metodę Mailgen.generatePlaintext(email). Projekty są zagrożone, jeśli używają tej metody z treścią pochodzącą od użytkownika. Podatność została załatana w wersji 2.0.30.
Oryginalny opis (angielski, źródło NVD)
mailgen is a Node.js package that generates responsive HTML e-mails for sending transactional mail. Mailgen versions through 2.0.31 contain an HTML injection vulnerability in plaintext emails generated with the generatePlaintext method when user generated content is supplied. The plaintext generation code attempts to strip HTML tags using a regular expression and then decodes HTML entities, but tags that include certain Unicode line separator characters are not matched and removed. These encoded tags are later decoded into valid HTML content, allowing unexpected HTML to remain in output intended to be plaintext. Projects are affected if they call Mailgen.generatePlaintext with untrusted input and then render or otherwise process the returned string in a context where HTML is interpreted. This can lead to execution of attacker supplied script in the victim’s browser. Version 2.0.32 fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS