CVE-2026-59167

KrytyczneCVSS 10.0

Opublikowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Streszczenie

SunEditor to lekki i wydajny edytor WYSIWYG w czystym JavaScript bez zależności. Przed wersją 2.47.11, sanityzer w src/lib/core.js nie odrzuca konsekwentnie elementów HTML z przestrzenią nazw lub niestandardowych, co pozwala na pozostawienie atrybutów obsługi zdarzeń na spreparowanych elementach. Gdy aplikacja renderuje treść edytora kontrolowaną przez atakującego, a użytkownik wchodzi w interakcję z elementem, zachowany handler może wykonać skrypt w kontekście przeglądarki aplikacji, umożliwiając trwały cross-site scripting, ujawnienie danych lub nieautoryzowane działania w kontekście przeglądarki. Problem został naprawiony w wersji 2.47.11.

Ocena ryzyka

Atakujący może wykonać skrypty w przeglądarce użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub nieautoryzowanych działań w kontekście aplikacji.

Rekomendacja

Zaleca się aktualizację SunEditor do wersji 2.47.11 lub nowszej oraz sanityzację treści edytora po stronie serwera.

Inne podatności w SunEditor

CVE-2026-54606Wysokie
SunEditor przed wersją 3.1.4 ma podatność w pluginie Embed, która pozwala na wykonanie JavaScript w edytorze. Plugin parsuje surowe HTML embed i odtwarza zewnętrzne elementy script, co prowadzi do XSS. Jeśli aplikacja przechowuje lub odzwierciedla treść bez dodatkowej dezynfekcji, atakujący może wywołać przechowywany lub odzwierciedlony XSS.

Oryginalny opis (angielski, źródło NVD)

SunEditor is a lightweight and powerful WYSIWYG editor in vanilla JavaScript with no dependencies. Prior to 2.47.11, the sanitizer in src/lib/core.js does not consistently reject namespaced or custom HTML elements, allowing event-handler attributes to remain on crafted elements. When an application renders attacker-controlled editor content and a user interacts with the element, the retained handler can execute script in the application's browser origin, enabling stored cross-site scripting, data exposure, or unauthorized browser-context actions. This issue is fixed in version 2.47.11.