Katalog CVE
CVE-2020-9281
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzyko4.33%
Percentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
CKEditor 4.0 przed wersją 4.14 zawiera podatność na cross-site scripting (XSS) w procesorze danych HTML. Zdalny atakujący może wstrzyknąć dowolny skrypt przez spreparowany komentarz "protected" (z składnią cke_protected).
Ocena ryzyka
Atakujący może wykonać skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści strony.
Rekomendacja
Zaktualizuj CKEditor do wersji 4.14 lub nowszej, aby wyeliminować podatność.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the HTML Data Processor for CKEditor 4.0 before 4.14 allows remote attackers to inject arbitrary web script through a crafted "protected" comment (with the cke_protected syntax).