CVE-2025-69993

Name of the Vulnerable Software and Affected Versions Leaflet versões anteriores a 1.9.5

Description O Cross-Site Scripting (XSS) ocorre através da função bindPopup(). Esta função renderiza entradas fornecidas pelo usuário como HTML bruto sem sanitização, o que permite a injeção de código JavaScript arbitrário por meio de atributos de manipuladores de eventos. O script malicioso é executado no contexto da sessão do navegador da vítima quando esta visualiza um popup de mapa afetado.

Recommendations Atualize para a versão 1.9.5 ou posterior. Como medida paliativa temporária, considere restringir o uso da função bindPopup() até que a atualização seja aplicada.