CVE-2024-24816

CKEditor 4 < 4.24.0-lts - vulnerabilidad XSS en muestras que utilizan la función "preview".

Cronología

• Vulnerabilidad reportada al proveedor: 18.07.2024
• Nueva versión corregida 5.2.8 publicada: 07.02.2024
• Divulgación pública: 06.01.2024

Descripción

Vulnerabilidad de Cross-Site-Scripting (XSS) en los archivos de muestra de CkEditor 4. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript no confiable en el contexto del usuario actualmente conectado.

La vulnerabilidad existe en archivos de muestra que utilizan la función "preview":

samples/old/**/*.html
plugins/[plugin name]/samples/**/*.html

El siguiente código se puede utilizar para lograr XSS mediante la función "preview":

<p>&gt;</p>

<p><a href="javascript:alert(document.domain)">XSS</a></p>

<p>&nbsp;</p>

Este problema fue causado por la falta de desinfección de los datos pasados a la función "preview". Este problema se ha corregido en CKEditor 4 en la versión 4.24.0-lts.

Versiones afectadas

< 4.24.0-lts

Aviso

Actualice CKEditor 4 a la versión 4.24.0-lts o posterior.

Referencias

• https://ckeditor.com/cke4/release-notes
• https://github.com/ckeditor/ckeditor4/security/advisories/GHSA-mw2c-vx6j-mg76
• https://nvd.nist.gov/vuln/detail/CVE-2024-24816