CVE-2026-116687
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W CKEditor 5 w wersjach od 29.0.0 do 47.7.4 oraz 48.5.1 specjalnie spreparowany znacznik może wywołać cross-site scripting, gdy włączona jest opcja General HTML Support i skonfigurowana do zezwalania na zawartość obiektów. Przetwarzanie takiej zawartości może wykonać JavaScript kontrolowany przez atakującego w kontekście przeglądarki odizolowanym od źródła aplikacji osadzającej edytor. Problem naprawiono w wersjach 47.7.4 i 48.5.1.
Ocena ryzyka
Atakujący może wykonać dowolny JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji lub innych ataków w kontekście aplikacji. Ryzyko dotyczy aplikacji korzystających z CKEditor 5 z włączoną opcją General HTML Support.
Rekomendacja
Zaktualizuj CKEditor 5 do wersji 47.7.4 lub 48.5.1. Jeśli to możliwe, wyłącz lub ogranicz opcję General HTML Support dla zawartości obiektów do czasu wdrożenia aktualizacji.
Inne podatności w CKEditor 5
Zobacz wszystkie- CVE-2023-31541Krytyczne
Wtyczka CKEditor v1.2.3 dla Redmine zawiera lukę umożliwiającą nieograniczone przesyłanie plików w funkcji 'Przeglądaj i przesyłaj obrazy', co pozwala na wgranie dowolnych plików na serwer.
- CVE-2020-9281Średnie
CKEditor 4.0 przed wersją 4.14 zawiera podatność na cross-site scripting (XSS) w procesorze danych HTML. Zdalny atakujący może wstrzyknąć dowolny skrypt przez spreparowany komentarz "protected" (z składnią cke_protected).
- CVE-2026-116688Wysokie
CKEditor 5 to nowoczesny edytor tekstu JavaScript z architekturą MVC. Od wersji 45.0.0 do 47.7.4 i 48.5.1 silnik używa podatnej wersji es-toolkit, której zachowanie związane z zanieczyszczeniem prototypu może zostać osiągnięte podczas przetwarzania przez CKEditor przychodzących wartości atrybutów style. Spreparowana zawartość edytora może w ten sposób spowodować nieautoryzowane wykonanie kodu JavaScript w przeglądarce. Problem został naprawiony w wersjach 47.7.4 i 48.5.1.
- CVE-2021-26272Średnie
W CKEditor 4 przed wersją 4.16 możliwe było przeprowadzenie ataku typu ReDoS poprzez nakłonienie ofiary do wklejenia spreparowanego tekstu przypominającego URL do edytora, a następnie naciśnięcia Enter lub Spacji (w pluginie Autolink).
- CVE-2021-26271Średnie
W CKEditor 4 przed wersją 4.16 możliwe było przeprowadzenie ataku typu ReDoS poprzez nakłonienie ofiary do wklejenia spreparowanego tekstu do pola Styles w określonych dialogach (w pluginie Advanced Tab for Dialogs).
- CVE-2020-27193Średnie
Podatność na cross-site scripting (XSS) w pluginie Color Dialog dla CKEditor 4.15.0 pozwala zdalnym atakującym na uruchomienie dowolnego skryptu po nakłonieniu użytkownika do skopiowania i wklejenia spreparowanego kodu HTML do jednego z pól edytora.
Oryginalny opis (angielski, źródło NVD)
CKEditor 5 is a modern JavaScript rich-text editor with an MVC architecture. From 29.0.0 until 47.7.4 and 48.5.1, specially crafted markup can trigger cross-site scripting when General HTML Support is enabled and specifically configured to allow object content. Processing that content can execute attacker-controlled JavaScript in a browser context isolated from the origin of the application embedding the editor. This issue is fixed in versions 47.7.4 and 48.5.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS