CVE-2024-37888

Este repositorio documenta los detalles de la vulnerabilidad y el exploit para CVE-2024-37888, descubierta y reportada por Anurag Mondal (7Ragnarok7) el 21 de mayo de 2024.

Métricas

• CWE-79: Neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting')
• CVSS: 6.1 (MEDIO)

Descripción general de la vulnerabilidad

Esta Prueba de Concepto (POC) demuestra la explotación de una vulnerabilidad XSS que descubrí recientemente en el plugin Open Link, el cual, cuando está habilitado, afecta directamente a todas las versiones de CKEditor 4. La falla permite la ejecución de JavaScript a través de enlaces manipulados dentro del editor, los cuales el plugin no logra sanear. Esta falla puede explotarse dentro del área de texto solo cuando el plugin Open Link está instalado. El plugin Open Link nos permite abrir enlaces directamente dentro del área de edición.

Requisitos previos

1. CKEditor (versión 4.*.*): https://ckeditor.com/ckeditor-4/download/#ckeditor-4
2. Plugin Open Link (versión < 1.0.5): https://ckeditor.com/cke4/addon/openlink

Pasos de reproducción

Esta vulnerabilidad puede probarse desde la instancia de CKEditor preconfigurada disponible aquí.

1. Insertar el payload:

   • Abra la instancia de CKEditor y haga clic en el icono "Source".

   • Inserte el siguiente payload en el área de texto:

     <a href="javascript:alert('XSS Found')">XSS</a>
     

   

2. Cambiar al modo WYSIWYG:

   • Haga clic nuevamente en el icono "Source" para volver al modo WYSIWYG.
   • Observe que el hipervínculo se vuelve clicable dentro del editor.

   

3. Activar el XSS:

   • Haga clic en el hipervínculo dentro del editor.
   • Observe que el payload XSS se activa, lo que resulta en un cuadro de alerta en una nueva pestaña.

   

Instrucciones de configuración

Puede configurar su propia instancia local para probar esta vulnerabilidad siguiendo los pasos a continuación.

1. Descargar CKEditor 4:

   • Descargue la edición Open-Source Full-Package de CKEditor 4.

   

2. Instalar el plugin Open Link:

   • Descargue el plugin Open Link versión 1.0.4 desde aquí.
   • Extraiga y coloque el contenido en el directorio ckeditor/plugins/openlink.

   

3. Actualizar la configuración para incluir el plugin OpenLink:

   • Modifique el archivo config.js de CKEditor añadiendo las siguientes líneas al final:

   config.extraPlugins = 'openlink';
   config.linkShowTargetTab = false; // Hide link target tab
   config.openlink_modifier = 0; // No modifier for opening links
   config.openlink_enableReadOnly = true; // Allow links to open in read-only mode
   

   • Ejemplo de config.js:

   CKEDITOR.editorConfig = function( config ) {
       // Define changes to default configuration here.
       config.extraPlugins = 'openlink';
       config.linkShowTargetTab = false;
       config.openlink_modifier = 0;
       config.openlink_enableReadOnly = true;
   };
   

4. Incluir CKEditor en HTML:

   • Asegúrate de que la biblioteca CKEditor esté incluida en tu archivo HTML.

   <!DOCTYPE html>
   <html>
   <head>
       <script src="path/to/ckeditor/ckeditor.js"></script>
   </head>
   <body>
       <textarea name="editor1" id="editor1"></textarea>
       <script>
           CKEDITOR.replace('editor1');
       </script>
   </body>
   </html>
   

   

Conclusión

Esta vulnerabilidad se ha descubierto en la base de código del plugin Open Link y no en la base de código de CKEditor 4. El POC anterior demuestra la explotación de una vulnerabilidad XSS a través del plugin Open Link en CKEditor 4.*.*. La falla permite la ejecución arbitraria de JavaScript mediante enlaces especialmente diseñados, lo que supone un riesgo de seguridad significativo.

Aviso

• El aviso oficial del mantenedor del plugin Open Link se puede encontrar en https://github.com/mlewand/ckeditor-plugin-openlink/security/advisories/GHSA-rhxf-gvmh-hrxm.

Aviso adicional

• Tenga en cuenta que si desea mostrar contenido del editor en otro lugar, siempre debe filtrarlo adecuadamente.
• En cuanto al atributo onclick en los enlaces, se puede deshabilitar mediante la opción de configuración config.disallowedContent:

config.disallowedContent = 'a[onclick]';

Enlaces importantes

• https://github.com/mlewand/ckeditor-plugin-openlink/security/advisories/GHSA-rhxf-gvmh-hrxm
• https://nvd.nist.gov/vuln/detail/CVE-2024-37888
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-37888
• https://7ragnarok7.github.io/CVE-2024-37888/