p PatchFirst

CVE-2025-59430

CVE-2025-59430 · Mesh Connect JS SDK Vulnerable to Cross Site Scripting via createLink.openLink

CVSS 8.2 · Высокий · EPSS 0,4% · Есть исправление

Затронуты ли вы?

Как узнать установленную версию:

npm ls @meshconnect/web-link-sdk

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания mesh-web-sdk и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Mesh Connect JS SDK contains JS libraries for integrating with Mesh Connect. Prior to version 3.3.2, the lack of sanitization of URLs protocols in the createLink.openLink function enables the execution of arbitrary JavaScript code within the context of the parent page. This is technically indistinguishable from a real page at the rendering level and allows access to the parent page DOM, storage, session, and cookies. If the attacker can specify customIframeId, they can hijack the source of existing iframes. This issue has been patched in version 3.3.2.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • mesh-web-sdk

    Версии
    • < 3.3.2: Затронуто

    Нет опубликованного исправления

  • @meshconnect/web-link-sdk npm

    Затронутые диапазоны версий
    • SEMVER: < 3.3.2

    Обновитесь до 3.3.2

Первоисточники

Проверьте свой сервер →