CVE-2026-65841
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W edytorze Jodit przed wersją 4.13.6, filtr clean-html denyTags nie normalizuje nazw węzłów skryptów w SVG lub MathML, co pozwala na pozostawienie elementu script w editor.value i jego wykonanie po załadowaniu treści.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary, prowadząc do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj Jodit Editor do wersji 4.13.6 lub nowszej.
Inne podatności w Jodit Editor
Zobacz wszystkie- CVE-2026-62324Średnie
W edytorze Jodit przed wersją 4.12.31, metoda sanitizeHTMLElement nie używa isDangerousUrl do normalizacji wartości href z javascript: przed sprawdzeniem schematu, co pozwala na ominięcie filtrów przez warianty wielkości liter, prefiksy bajtów kontrolnych oraz tabulatory i znaki nowej linii. Kliknięcie przez ofiarę przechowywanego linku może wykonać atakujący skrypt.
- CVE-2026-58263Wysokie
Jodit Editor w wersjach przed 4.12.28 zawiera podatność na atak XSS przez ominięcie sanitizera clean-html. Atakujący może użyć MathML lub <style> jako nośnika, aby ukryć niebezpieczny element przed sanitizerem, co pozwala na umieszczenie w edytorze zdarzenia onload lub onfocus. Gdy aplikacja wyświetli zawartość edytora, wykonuje się kod JavaScript bez interakcji użytkownika.
- CVE-2026-55886Średnie
Jodit Editor w wersjach przed 4.12.26 jest podatny na zanieczyszczenie prototypu (Prototype Pollution) przez funkcję Jodit.modules.Helpers.set(). Atakujący może przekazać specjalnie spreparowaną ścieżkę klucza zawierającą __proto__, constructor lub prototype, co prowadzi do modyfikacji Object.prototype i wstrzyknięcia nieoczekiwanych właściwości.
- CVE-2026-54756Średnie
W Jodit Editor przed wersją 4.12.18 funkcja Jodit.configure() oraz wewnętrzne helpery ConfigMerge/ConfigProto scalały opcje użytkownika bez filtrowania kluczy modyfikujących prototyp, co prowadziło do podatności na zatrucie prototypu (Prototype Pollution).
- CVE-2023-42399Średnie
W edytorze Jodit w wersji 4.0.0-beta.86 wykryto podatność na ataki typu Cross-Site Scripting (XSS). Luka umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript za pośrednictwem komponentu edytora tekstu sformatowanego.
Oryginalny opis (angielski, źródło NVD)
Jodit Editor is a WYSIWYG editor with a built-in file browser & image editor. Prior to 4.13.6, Jodit's clean-html denyTags filter does not normalize foreign SVG or MathML script node names, allowing a script element nested directly in SVG or MathML to remain in editor.value and execute when content is loaded. This issue is fixed in version 4.13.6.