CVE-2024-24816

CKEditor 4 < 4.24.0-lts - Vulnérabilité XSS dans les exemples utilisant la fonctionnalité « preview ».

Chronologie

• Vulnérabilité signalée au fournisseur : 18.07.2024
• Nouvelle version corrigée 5.2.8 publiée : 07.02.2024
• Divulgation publique : 06.01.2024

Description

Vulnérabilité Cross-Site-Scripting (XSS) dans les exemples de CkEditor 4. Cette vulnérabilité permet à un attaquant d'exécuter du code JavaScript non fiable dans le contexte de l'utilisateur actuellement connecté.

La vulnérabilité existe dans les fichiers d'exemple qui utilisent la fonctionnalité « preview » :

samples/old/**/*.html
plugins/[plugin name]/samples/**/*.html

Le code suivant peut être utilisé pour réaliser une XSS en utilisant la fonctionnalité « preview » :

<p>&gt;</p>

<p><a href="javascript:alert(document.domain)">XSS</a></p>

<p>&nbsp;</p>

Ce problème a été causé par un manque de nettoyage des données transmises à la fonctionnalité « preview ». Ce problème a été corrigé dans CKEditor 4 à partir de la version 4.24.0-lts.

Versions affectées

< 4.24.0-lts

Recommandation

Mettez à jour CKEditor 4 vers la version 4.24.0-lts ou une version ultérieure.

Références

• https://ckeditor.com/cke4/release-notes
• https://github.com/ckeditor/ckeditor4/security/advisories/GHSA-mw2c-vx6j-mg76
• https://nvd.nist.gov/vuln/detail/CVE-2024-24816