CVE-2026-58263
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Jodit Editor w wersjach przed 4.12.28 zawiera podatność na atak XSS przez ominięcie sanitizera clean-html. Atakujący może użyć MathML lub <style> jako nośnika, aby ukryć niebezpieczny element przed sanitizerem, co pozwala na umieszczenie w edytorze zdarzenia onload lub onfocus. Gdy aplikacja wyświetli zawartość edytora, wykonuje się kod JavaScript bez interakcji użytkownika.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w kontekście przeglądarki ofiary, co może prowadzić do kradzieży sesji, modyfikacji strony lub wycieku danych. Luka może być wykorzystana bez interakcji użytkownika.
Rekomendacja
Należy zaktualizować Jodit Editor do wersji 4.12.28 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy unikać wyświetlania treści HTML pochodzących od użytkowników bez dodatkowej sanityzacji.
Inne podatności w Jodit Editor
Zobacz wszystkie- CVE-2026-65841Średnie
W edytorze Jodit przed wersją 4.13.6, filtr clean-html denyTags nie normalizuje nazw węzłów skryptów w SVG lub MathML, co pozwala na pozostawienie elementu script w editor.value i jego wykonanie po załadowaniu treści.
- CVE-2026-62324Średnie
W edytorze Jodit przed wersją 4.12.31, metoda sanitizeHTMLElement nie używa isDangerousUrl do normalizacji wartości href z javascript: przed sprawdzeniem schematu, co pozwala na ominięcie filtrów przez warianty wielkości liter, prefiksy bajtów kontrolnych oraz tabulatory i znaki nowej linii. Kliknięcie przez ofiarę przechowywanego linku może wykonać atakujący skrypt.
- CVE-2026-55886Średnie
Jodit Editor w wersjach przed 4.12.26 jest podatny na zanieczyszczenie prototypu (Prototype Pollution) przez funkcję Jodit.modules.Helpers.set(). Atakujący może przekazać specjalnie spreparowaną ścieżkę klucza zawierającą __proto__, constructor lub prototype, co prowadzi do modyfikacji Object.prototype i wstrzyknięcia nieoczekiwanych właściwości.
- CVE-2026-54756Średnie
W Jodit Editor przed wersją 4.12.18 funkcja Jodit.configure() oraz wewnętrzne helpery ConfigMerge/ConfigProto scalały opcje użytkownika bez filtrowania kluczy modyfikujących prototyp, co prowadziło do podatności na zatrucie prototypu (Prototype Pollution).
- CVE-2023-42399Średnie
W edytorze Jodit w wersji 4.0.0-beta.86 wykryto podatność na ataki typu Cross-Site Scripting (XSS). Luka umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript za pośrednictwem komponentu edytora tekstu sformatowanego.
Oryginalny opis (angielski, źródło NVD)
Jodit Editor is a WYSIWYG editor with a built-in file browser & image editor. In versions prior to 4.12.28, the built-in clean-html sanitizer can be bypassed by a MathML/<style> carrier that hides a dangerous element from the sanitizer's element walk, so a no-interaction event handler survives into the editor value, potentially causing Mutation XSS. When an application supplies attacker-influenced HTML to the editor's value-set or insertion paths, the sanitized output still contains a live <img ... onload=...> (or another non-onerror handler such as onfocus). A consumer that renders that output (element.innerHTML = editor.value) executes the handler with no user interaction. This issue has been fixed in version 4.12.28.