tagify can pass a malicious placeholder to initiate the cross-site scripting (XSS) payload

MITTEL 5.4CVE-2022-25854 · GHSA-pxpf-v376-7xx5 · SNYK-JS-YAIREOTAGIFY-2404358 · Published 29/04/2022 · updated 17/06/2026

Kurz gesagt

CVE-2022-25854 ist eine Schwachstelle (MITTEL (CVSS 5.4)) in tagify (tagify project), @yaireo/tagify.
Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen (EPSS): 0.99%, höher als bei 62.8% aller Schwachstellen.
Abhilfe: auf 4.9.8 oder neuer aktualisieren.

Package	Affected versions	Patched versions
tagify tagify_project	`< 4.9.8`	`4.9.8`
@yaireo/tagify npm	`< 4.9.8`	`4.9.8`

Description

This affects the package @yaireo/tagify before 4.9.8. The package is used for rendering UI components inside the input or text fields, and an attacker can pass a malicious placeholder value to it to fire the cross-site scripting (XSS) payload.

NVD description

References

nvd.nist.gov/vuln/detail/CVE-2022-25854 · ADVISORY
yairEO/tagify · WEB
yairEO/tagify commit 198c045 · WEB
bsg.tech/blog/cve-2022-25854-stored-xss-in-yaireo-tagify-npm-module · WEB
yairEO/tagify · PACKAGE
yairEO/tagify release v4.9.8 · WEB
snyk.io/vuln/SNYK-JS-YAIREOTAGIFY-2404358 · WEB
bsg.tech/blog/cve-2022-25854-stored-xss-in-yaireo-tagify-npm-module · Exploit

Running one of these products? Scan your site to see whether it exposes a vulnerable version.

Scan my site free

Package

Affected versions

Patched versions

tagify

tagify_project

< 4.9.8

4.9.8

@yaireo/tagify

npm

< 4.9.8

4.9.8

Description

NVD description