CVE-2025-65110

Vega; etkileşimli görselleştirme tasarımları oluşturmak, kaydetmek ve paylaşmak için kullanılan deklaratif bir format olan bir görselleştirme grameridir. 6.1.2 ve 5.6.3 versiyonlarından önce, iki koşulu karşılayan uygulamalar, "safe mode" expressionInterpreter kullanılsa bile rastgele JavaScript kodu yürütülme riski altındadır. İlk olarak, hem `vega` kütüphanesini hem de Vega Editor'e benzer bir `vega.View` örneğini global `window` nesnesine ekleyen veya global kapsamda herhangi bir tatmin edici fonksiyon gadget'ına sahip olan bir uygulamada `vega` kullanmalarıdır. İkincisi, kullanıcı tanımlı Vega `JSON` tanımlamalarına izin vermeleridir (yalnızca kaynak kod aracılığıyla sağlanan JSON'ların aksine). Bu güvenlik açığı, kütüphanenin nasıl kullanıldığına bağlı olarak potansiyel olarak depolanan veya yansıtılan DOM XSS'e olanak tanır. Güvenlik açığının tetiklenmesi için sayfa ile kullanıcı etkileşimi gereklidir. Bir saldırgan, bir kullanıcıyı kötü amaçlı bir Vega spesifikasyonu açmaya ikna ederek bu sorunu istismar edebilir. Başarılı bir istismar, saldırganın uygulamanın alan adı bağlamında rastgele JavaScript yürütmesine olanak tanır. Bu durum, kimlik doğrulama belirteçleri gibi hassas bilgilerin çalınmasına, kullanıcıya görüntülenen verilerin manipüle edilmesine veya mağdur adına yetkisiz işlemlerin gerçekleştirilmesine yol açabilir. Bu istismar, etkilenen uygulamaların gizliliğini ve bütünlüğünü tehlikeye atar. Yamalanmış versiyonlar, Vega v6 için `[email protected]` (ESM gerektirir) ve Vega v5 için `[email protected]` (ESM gerekmez) sürümlerinde mevcuttur. Geçici bir çözüm olarak, editörün yaptığı gibi `vega` veya `vega.View` örneklerini global değişkenlere veya window nesnesine eklemeyin. Bu, yalnızca geliştirme aşamasındaki bir hata ayıklama uygulamasıdır ve Vega/Vega-lite tanımlarının güvenilmeyen taraflardan gelebileceği hiçbir durumda kullanılmamalıdır.