Średnia

Vega Cross-Site Scripting (XSS) via event filter when not using CSP mode expressionInterpeter

Ujawniono: 27.03.2025
Aktualizacja: 11.10.2026 10:22

Impact

In vega 5.30.0 and lower, vega-functions 5.15.0 and lower , it was possible to call JavaScript functions from the Vega expression language that were not meant to be supported.

Patches

Patched in vega 5.31.0 / vega-functions 5.16.0

Workarounds

Is there a way for users to fix or remediate the vulnerability without upgrading?

Run vega without vega.expressionInterpreter. This mode is not the default as it is slower.
Using the interpreter described in CSP safe mode (Content Security Policy) prevents arbitrary Javascript from running, so users of this mode are not affected by this vulnerability.

References

Reported to Vega-Lite by @kprevas Nov 8 2024 in https://github.com/vega/vega-lite/issues/9469 & https://github.com/vega/vega/issues/3984

Reproduction of the error in Vega by @mattijn

{
  "$schema": "https://vega.github.io/schema/vega/v5.json",
  "signals": [
    {
      "name": "inject_alert",
      "on": [
        {
          "events": [
            {
              "type": "mousedown",
              "marktype": "rect",
              "filter": ["scale(event.view.setTimeout, 'alert(\"alert\")')"]
            }
          ],
          "update": "datum"
        }
      ]
    }
  ],
  "marks": [
    {
      "type": "rect",
      "encode": {
        "update": {
          "x": {"value": 0},
          "y": {"value": 0},
          "width": {"value": 100},
          "height": {"value": 100}
        }
      }
    }
  ]
}

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	vega	< 5.31.0	5.31.0
Paczka npm	vega-functions	< 5.16.0	5.16.0

Odnośniki

Ocena CVSS 6.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE): CWE-79
Platforma: npm
Paczka: vega, vega-functions
Ujawniono: 27.03.2025
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-rcw3-wmx7-cphr - CC BY 4.0

Historia podatności: vega

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 8
Pierwsza → ostatnia: 12.2020 11.2025
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 1
Średnia 6
Niska 1

Ujawnienia w latach

2020: 1
2021: 0
2022: 0
2023: 3
2024: 0
2025: 4
2026: 0

13.11.2025

Vega Cross-Site Scripting (XSS) via expressions abusing toString calls in environments using the VEGA_DEBUG global variable

Wysoka · 8.1 CVE-2025-59840 < 6.2.0 6.2.0
27.03.2025

Vega vulnerable to Cross-site Scripting via RegExp.prototype[@@replace]

Średnia CVE-2025-27793 < 5.32.0 5.32.0
27.03.2025

Vega Cross-Site Scripting (XSS) via event filter when not using CSP mode expressionInterpeter ten wpis

Średnia · 6.1 CVE-2025-26619 < 5.31.0 5.31.0
14.02.2025

Vega allows Cross-site Scripting via the vlSelectionTuples function

Średnia CVE-2025-25304 < 5.26.0 5.26.0
02.03.2023

Vega vulnerable to arbitrary code execution when clicking href links

Średnia ghsa-cp47-r258-q626 >= 5.0.0, < 5.4.1, < 4.5.1 5.4.1, 4.5.1
02.03.2023

Vega Expression Language `scale` expression function Cross Site Scripting

Średnia · 6.1 CVE-2023-26486 < 5.23.0 5.23.0
02.03.2023

Vega has Cross-site Scripting vulnerability in `lassoAppend` function

Średnia · 6.1 CVE-2023-26487 < 5.23.0 5.23.0
30.12.2020

XSS in Vega

Niska · 8.7 CVE-2020-26296 < 5.17.3 5.17.3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację