CVE-2025-8083

WysokieCVSS 8.6

Opublikowano: 12/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Funkcja presetów w Vuetify jest podatna na zanieczyszczenie prototypu (Prototype Pollution) z powodu wewnętrznej funkcji 'mergeDeep' używanej do łączenia opcji z wartościami domyślnymi. Specjalnie spreparowany, złośliwy preset może zanieczyścić wszystkie obiekty JavaScript dowolnymi właściwościami, co negatywnie wpływa na zachowanie aplikacji i może prowadzić do wyczerpania zasobów, odmowy usługi lub nieautoryzowanego dostępu do danych. Jeśli aplikacja używa renderowania po stronie serwera (SSR), podatność może wpłynąć na cały proces serwera. Problem dotyczy wersji Vuetify od 2.2.0-beta.2 do 3.0.0-alpha.10 (włącznie).

Ocena ryzyka

Zanieczyszczenie prototypu może prowadzić do szerokiego zakresu problemów bezpieczeństwa, w tym wyczerpania zasobów, odmowy usługi lub nieautoryzowanego dostępu do danych. W przypadku SSR może to zagrozić całemu serwerowi.

Rekomendacja

Zaktualizuj Vuetify do wersji 3.0.0-alpha.10 lub nowszej (jeśli to możliwe) lub zastosuj obejście, unikając używania niezaufanych presetów. Wersja 2.x jest End-of-Life i nie otrzyma poprawek.

Inne podatności w Vuetify

CVE-2025-8082Średnie
Komponent VDatePicker w Vuetify w wersjach od 2.0.0 do 3.0.0 nie neutralizuje tytułu daty, co pozwala na wstrzyknięcie nieprzesanizowanego HTML do strony. Atakujący może wykorzystać właściwość 'title-date-format' do przekazania funkcji, której wynik jest przypisywany do innerHTML bez sanityzacji, prowadząc do ataku XSS.

Oryginalny opis (angielski, źródło NVD)

The Preset configuration https://v2.vuetifyjs.com/en/features/presets feature of Vuetify is vulnerable to Prototype Pollution https://cheatsheetseries.owasp.org/cheatsheets/Prototype_Pollution_Prevention_Cheat_Sheet.html due to the internal 'mergeDeep' utility function used to merge options with defaults. Using a specially-crafted, malicious preset can result in polluting all JavaScript objects with arbitrary properties, which can further negatively affect all aspects of the application's behavior. This can lead to a wide range of security issues, including resource exhaustion/denial of service or unauthorized access to data. If the application utilizes Server-Side Rendering (SSR), this vulnerability could affect the whole server process. This issue affects Vuetify versions greater than or equal to 2.2.0-beta.2 and less than 3.0.0-alpha.10. Note: Version 2.x of Vuetify is End-of-Life and will not receive any updates to address this issue. For more information see here https://v2.vuetifyjs.com/en/about/eol/ .

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS