CVE-2026-54756
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W Jodit Editor przed wersją 4.12.18 funkcja Jodit.configure() oraz wewnętrzne helpery ConfigMerge/ConfigProto scalały opcje użytkownika bez filtrowania kluczy modyfikujących prototyp, co prowadziło do podatności na zatrucie prototypu (Prototype Pollution).
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe dane do konfiguracji edytora, co może prowadzić do modyfikacji zachowania aplikacji, eskalacji uprawnień lub wykonania nieautoryzowanego kodu w przeglądarce ofiary.
Rekomendacja
Należy natychmiast zaktualizować Jodit Editor do wersji 4.12.18 lub nowszej, która zawiera poprawkę usuwającą podatność na zatrucie prototypu.
Inne podatności w Jodit Editor
Zobacz wszystkie- CVE-2026-65841Średnie
W edytorze Jodit przed wersją 4.13.6, filtr clean-html denyTags nie normalizuje nazw węzłów skryptów w SVG lub MathML, co pozwala na pozostawienie elementu script w editor.value i jego wykonanie po załadowaniu treści.
- CVE-2026-62324Średnie
W edytorze Jodit przed wersją 4.12.31, metoda sanitizeHTMLElement nie używa isDangerousUrl do normalizacji wartości href z javascript: przed sprawdzeniem schematu, co pozwala na ominięcie filtrów przez warianty wielkości liter, prefiksy bajtów kontrolnych oraz tabulatory i znaki nowej linii. Kliknięcie przez ofiarę przechowywanego linku może wykonać atakujący skrypt.
- CVE-2026-58263Wysokie
Jodit Editor w wersjach przed 4.12.28 zawiera podatność na atak XSS przez ominięcie sanitizera clean-html. Atakujący może użyć MathML lub <style> jako nośnika, aby ukryć niebezpieczny element przed sanitizerem, co pozwala na umieszczenie w edytorze zdarzenia onload lub onfocus. Gdy aplikacja wyświetli zawartość edytora, wykonuje się kod JavaScript bez interakcji użytkownika.
- CVE-2026-55886Średnie
Jodit Editor w wersjach przed 4.12.26 jest podatny na zanieczyszczenie prototypu (Prototype Pollution) przez funkcję Jodit.modules.Helpers.set(). Atakujący może przekazać specjalnie spreparowaną ścieżkę klucza zawierającą __proto__, constructor lub prototype, co prowadzi do modyfikacji Object.prototype i wstrzyknięcia nieoczekiwanych właściwości.
- CVE-2023-42399Średnie
W edytorze Jodit w wersji 4.0.0-beta.86 wykryto podatność na ataki typu Cross-Site Scripting (XSS). Luka umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript za pośrednictwem komponentu edytora tekstu sformatowanego.
Oryginalny opis (angielski, źródło NVD)
Jodit Editor is a WYSIWYG editor with written in pure TypeScript file and image editing capabilities. In versions prior to 4.12.18, Jodit.configure(options) — and the internal ConfigMerge / ConfigProto helpers — merged user-supplied options into the editor configuration without filtering prototype-mutating keys, potentially causing a Prototype Pollution vulnerability. A payload nested under an existing plain-object option such as controls could reach and mutate Object.prototype. Applications that pass user-controlled or partially user-controlled configuration into Jodit.configure() may be vulnerable. This issue was fixed in version 4.12.18.