v1: auth-page innerHTML XSS (CVE-2025-52662) — fix 7cadbbe9 only on main
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 58/100
- Issue 类型
- 缺陷
- 描述清晰度
- 基本清楚
- 活跃度
- 冷清
- 技术栈
- typescript
调研方向
首先检查 v1 中的 packages/devtools/src/runtime/auth/index.html，并将其与 commit 7cadbbe9 进行比较，以确认存在漏洞的赋值以及预期的 backport。检查 v1 是否仍在维护；如果是，则应用这个单独 commit 中的更改，并验证 auth 页面不再通过 innerHTML 写入 Bearer 查询参数。
由索引模型根据 Issue 内容生成。
描述
Hi — flagging a likely missing backport on the v1 branch.
CVE-2025-52662 was fixed by 7cadbbe9 on the default branch ("using textContent instead of innerHTML for auth page"). The patch swaps an innerHTML write to textContent inside packages/devtools/src/runtime/auth/index.html, eliminating a DOM-XSS sink fed by the Bearer query parameter.
A few facts that suggest the fix did not reach v1:
compare v1...7cadbbe9→ ahead_by=125, behind_by=0 (i.e.v1strictly lacks the fix path)packages/devtools/src/runtime/auth/index.htmlexists onv1and still containsinnerHTML-based assignment (the pre-patch shape)- No prior issue/PR references CVE-2025-52662 in this repo
- Last commit on
v1is 2025-01-02, so the branch is not totally inactive
If v1 is still considered a maintained line for users on the older Nuxt-DevTools major, a one-commit cherry-pick of 7cadbbe9 onto v1 would close the gap. The patch is a single small file edit and should not collide with anything else.
Happy to open the cherry-pick PR if it would help. If v1 is end-of-life and users should upgrade, that's also a clear answer — please close in that case so I don't re-surface it.
Thanks for maintaining devtools!
- 主要语言
- TypeScript
- 星标
- 3.3k
- 派生
- 218
- 平均合并
- 1 天 4 小时
- 30 天内合并 PR
- 21
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 没有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
nuxt/devtools 的其他 Issue
-
fix: Inspect panel styles break when host page sets a custom html font-size (rem-based units)可能重新可做 关联的 PR 已关闭且未合并。 未关闭bug
难度 2/5 1-3 小时 新手友好度 72/100
维护者通常 1 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 72/100
维护者通常 1 天内回复
-
难度 3/5 半天 新手友好度 42/100
维护者通常 1 天内回复
-
bug
难度 3/5 1-2 天 新手友好度 65/100
维护者通常 1 天内回复
-
bug
难度 3/5 1-2 天 新手友好度 65/100
nuxt/devtools#1100 · 2 个 reaction ·
维护者通常 1 天内回复
相似的 Issue
-
streams:add
难度 2/5 1 小时以内 新手友好度 70/100
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 68/100
apache/rocketmq-dashboard#6872 ·
维护者通常 3 天内回复
-
难度 2/5 1-3 小时 新手友好度 72/100
interledger/publisher-tools#931 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 62/100
ARTPARK-SAHAI-ORG/calibrate-frontend#727 ·
维护者通常 1 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 70/100
fab-geocommuns/RNB-site#539 ·
维护者通常 2 天内回复