一、 漏洞 CVE-2025-25304 基础信息
漏洞标题
Vega通过vlSelectionTuples函数允许跨站脚本攻击
来源：AIGC 神龙大模型
漏洞描述信息
Vega 是一种可视化语法，一种用于创建、保存和分享交互式可视化设计的声明性格式。在 vega 的 5.26.0 版本和 vega-selections 的 5.4.2 版本之前，`vlSelectionTuples` 函数可以用来调用 JavaScript 函数，从而导致跨站脚本（XSS）漏洞。`vlSelectionTuples` 调用多个可以被攻击者控制的函数，其中包括一个带有攻击者控制参数的调用。这可以用来调用 `Function()` 并执行任意 JavaScript 代码，且生成的函数可以通过 `vlSelectionTuples` 或类型转换来调用 `toString` 或 `valueOf`。Vega 的 5.26.0 版本和 vega-selections 的 5.4.2 版本修复了该问题。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
来源：AIGC 神龙大模型
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：AIGC 神龙大模型
漏洞标题
Vega allows Cross-site Scripting via the vlSelectionTuples function
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Vega is a visualization grammar, a declarative format for creating, saving, and sharing interactive visualization designs. Prior to version 5.26.0 of vega and 5.4.2 of vega-selections, the `vlSelectionTuples` function can be used to call JavaScript functions, leading to cross-site scripting.`vlSelectionTuples` calls multiple functions that can be controlled by an attacker, including one call with an attacker-controlled argument. This can be used to call `Function()` with arbitrary JavaScript and the resulting function can be called with `vlSelectionTuples` or using a type coercion to call `toString` or `valueOf`. Version 5.26.0 of vega and 5.4.2 of vega-selections fix this issue.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2025-25304 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-25304 的情报信息