CVE-2023-26487 in Vega
要約
〜によって VulDB • 2026年06月14日
Vegaは、インタラクティブな可視化デザインを作成、保存、共有するための宣言型フォーマットであるビジュアライゼーショングラマーです。`lassoAppend`関数は3つの引数を受け取り、内部で第1引数に対して`push`関数を呼び出します。この際、第2および第3引数からなる配列が`push`の呼び出し引数として指定されます。第1引数の型は配列であることが想定されていますが、その強制は行われません。これにより、`push`関数を持つ任意のオブジェクトを第1引数として指定することが可能になります。また、`push`関数は`event.view`経由でアクセス可能な任意の関数に設定できます（無効なコンテキストやシグネチャのためすべてが攻撃に利用できるわけではありませんが、例えば`console.log`のように一部は可能です）。問題は、`lassoAppend`が引数の適切な型を強制していない点にあります。この問題により様々なXSSベクトルが開きますが、正確な影響と深刻度は環境によります（例：Core JSの`setImmediate`ポリフィルは基本的に`eval`のような機能を提供します）。この問題はバージョン5.23.0で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.