PT-2025-41256 · Unknown · Novel-Plus

201206030 · Publicado 2025-10-08 · Atualizado 2025-10-08 · CVE-2025-60299

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Novel-Plus versão 5.2.0

Descrição Um usuário autenticado pode injetar JavaScript malicioso através do parâmetro replyContent ao responder a um comentário de livro via endpoint /book/addCommentReply. O payload malicioso é armazenado no banco de dados e executado nos navegadores de outros usuários quando eles visualizam o thread de comentários afetado. Trata-se de uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado.

Recomendações Aplique validação de entrada e codificação de saída ao parâmetro replyContent no endpoint /book/addCommentReply.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-60299

Produtos afetados

Novel-Plus

Referências · 8

• 🔥 https://notes.sjtu.edu.cn/s/OtnFaGbI4 · Exploit
• https://github.com/201206030/novel-plus · Nota
• https://t.me/CVEtracker/34439 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1975995485383954848 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1975977614704566456 · Publicação no Twitter
• https://t.me/cveNotify/137809 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-60299 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-60299 · Aviso do Fabricante