p PatchFirst

CVE-2025-57665

CVE-2025-57665

CVSS 6.4 · Средний · EPSS 0,2%

Затронуты ли вы?

  • element-plus npmНет опубликованного исправления

Как узнать установленную версию:

npm ls element-plus

Бесплатная проверка подсветит, требует ли внимания element-plus и остальные зависимости: проверьте lock-файл проекта или весь сервер командой ниже. Без регистрации. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить зависимости бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Element Plus Link component (el-link) through 2.10.6 implements insufficient input validation for the href attribute, creating a security abstraction gap that obscures URL-based attack vectors. The component passes user-controlled href values directly to underlying anchor elements without protocol validation, URL sanitization, or security headers. This allows attackers to inject malicious URLs using dangerous protocols (javascript:, data:, file:) or redirect users to external malicious sites. While native HTML anchor elements present similar risks, UI component libraries bear additional responsibility for implementing security safeguards and providing clear risk documentation. The vulnerability enables XSS attacks, phishing campaigns, and open redirect exploits affecting applications that use Element Plus Link components with user-controlled or untrusted URL inputs.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • n/a

    Версии
    • n/a: Затронуто

    Нет опубликованного исправления

  • element-plus npm

    Затронутые диапазоны версий
    • SEMVER: ≤ 2.11.0

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →