Cross-site Scripting in vis-timeline

中 6.8CVE-2020-28487 · GHSA-9mrv-456v-pf22 · 22/01/2021 公開 · 17/06/2026 更新

要点

CVE-2020-28487 は vis-timeline (visjs), vis-timeline に影響する深刻度「中」 (CVSS 6.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.5%（全脆弱性の 73.8% より高い）。
対処：7.4.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
vis-timeline visjs	`< 7.4.4`	`7.4.4`
vis-timeline npm	`< 7.4.4`	`7.4.4`

概要

This affects the package vis-timeline before 7.4.4. An attacker with the ability to control the items of a Timeline element can inject additional script code into the generated application.

NVD の説明

This affects the package vis-timeline before 7.4.4. An attacker with the ability to control the items of a Timeline element can inject additional script code into the generated application.

参考情報

nvd.nist.gov/vuln/detail/CVE-2020-28487 · ADVISORY
visjs/vis-timeline · WEB
visjs/vis-timeline#840 · WEB
visjs/vis-timeline commit a7ca349 · WEB
snyk.io/vuln/SNYK-JAVA-ORGWEBJARSBOWERGITHUBVISJS-1063502 · WEB
snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1063501 · WEB
snyk.io/vuln/SNYK-JS-VISTIMELINE-1063500 · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

vis-timeline

visjs

< 7.4.4

7.4.4

vis-timeline

npm

< 7.4.4

7.4.4

概要

This affects the package vis-timeline before 7.4.4. An attacker with the ability to control the items of a Timeline element can inject additional script code into the generated application.

NVD の説明

This affects the package vis-timeline before 7.4.4. An attacker with the ability to control the items of a Timeline element can inject additional script code into the generated application.