CVE-2024-24816

CKEditor 4 < 4.24.0-lts - "पूर्वावलोकन" सुविधा का उपयोग करने वाले नमूनों में XSS भेद्यता।

समयरेखा

• विक्रेता को भेद्यता की सूचना: 18.07.2024
• नया स्थिर 5.2.8 संस्करण जारी: 07.02.2024
• सार्वजनिक प्रकटीकरण: 06.01.2024

विवरण

CkEditor 4 नमूना फ़ाइलों में क्रॉस-साइट-स्क्रिप्टिंग (XSS) भेद्यता। यह भेद्यता एक हमलावर को वर्तमान में लॉग-इन उपयोगकर्ता के संदर्भ में अविश्वसनीय JavaScript कोड निष्पादित करने की अनुमति देती है।

भेद्यता उन नमूना फ़ाइलों में मौजूद है जो "पूर्वावलोकन" सुविधा का उपयोग करती हैं:

samples/old/**/*.html
plugins/[plugin name]/samples/**/*.html

निम्नलिखित कोड का उपयोग "पूर्वावलोकन" सुविधा का उपयोग करके XSS प्राप्त करने के लिए किया जा सकता है:

<p>&gt;</p>

<p><a href="javascript:alert(document.domain)">XSS</a></p>

<p>&nbsp;</p>

यह समस्या "पूर्वावलोकन" सुविधा में पारित डेटा के सैनिटाइज़ेशन की कमी के कारण हुई थी। यह समस्या CKEditor 4 में संस्करण 4.24.0-lts पर ठीक कर दी गई है।

प्रभावित संस्करण

< 4.24.0-lts

सलाह

CKEditor 4 को संस्करण 4.24.0-lts या नए में अपडेट करें।