CVE-2024-24816

CKEditor 4 < 4.24.0-lts – XSS-Schwachstelle in Beispielen, die die "Vorschau"-Funktion verwenden.

Timeline

• Schwachstelle an Anbieter gemeldet: 18.07.2024
• Neue behobene Version 5.2.8 veröffentlicht: 07.02.2024
• Öffentliche Offenlegung: 06.01.2024

Description

Cross-Site-Scripting (XSS)-Schwachstelle in CkEditor 4-Beispieldateien. Diese Schwachstelle ermöglicht es einem Angreifer, nicht vertrauenswürdigen JavaScript-Code im Kontext des aktuell angemeldeten Benutzers auszuführen.

Die Schwachstelle existiert in Beispieldateien, die die "Vorschau"-Funktion verwenden:

samples/old/**/*.html
plugins/[plugin name]/samples/**/*.html

Der folgende Code kann verwendet werden, um XSS mit der "Vorschau"-Funktion zu erreichen:

<p>&gt;</p>

<p><a href="javascript:alert(document.domain)">XSS</a></p>

<p>&nbsp;</p>

Dieses Problem wurde durch fehlende Bereinigung der an die "Vorschau"-Funktion übergebenen Daten verursacht. Dieses Problem wurde in CKEditor 4 in Version 4.24.0-lts behoben.

Affected versions

< 4.24.0-lts

Advisory

Aktualisieren Sie CKEditor 4 auf Version 4.24.0-lts oder neuer.

References

• https://ckeditor.com/cke4/release-notes
• https://github.com/ckeditor/ckeditor4/security/advisories/GHSA-mw2c-vx6j-mg76
• https://nvd.nist.gov/vuln/detail/CVE-2024-24816