Appium: Reflected XSS / arbitrary JS in @appium/base-driver /test/guinea-pig* routes — GHSA-3WGP-X9P5-C7CC

Résumé

## Summary Appium's base-driver mounts the built-in `/test/guinea-pig`, `/test/guinea-pig-scrollable` and `/test/guinea-pig-app-banner` routes **unconditionally** on every server. The handler reflects the `throwError` query param, the `comments` POST field, and the `User-Agent` request header into the returned HTML via `compileLodashTemplate`, which interpolates `<%= expr %>` as `String(expr)` with **no HTML/JS…

Chronologie

Publié par la source

2026-09-01

Contexte de risque

• Niveau de gravité ou de risque signalé : moyen.
• Score CVSS signalé : 6.5 sur 10.
• Valeur EPSS signalée : 0.00316.
• Vérifiez l’exposition du produit ou de la famille concernée : npm: @appium/base-driver.

Produit

npm: @appium/base-driver

Que faire

Mesures générales et prudentes (vérifiez les détails dans la source officielle) :

• Évaluez l’exposition et planifiez la remédiation selon le risque et l’environnement.
• Identifiez les versions affectées dans votre inventaire et vérifiez si vous êtes concerné.
• Appliquez les correctifs/mises à jour du fournisseur ou les atténuations recommandées.
• Consultez l’avis officiel pour les versions affectées et les étapes de remédiation.

Avis officiel

• Lire la source officielle
• CVE Record
• NVD

Preuves et provenance

ID canonique de l’avis

GHSA-3WGP-X9P5-C7CC

Source

GitHub

Fournisseur

GitHub

Publié par la source

2026-09-01

Dernière activité de la source

2026-09-01

Autres identifiants

CVE-2026-58191

Organisé par

hlukh.ch

Avis associés et connexions

Ces avis sont reliés par des signaux communs de CVE, produit, fournisseur, source ou période.