CVE-2024-24816

CKEditor 4 < 4.24.0-lts - Vulnerabilidade XSS em amostras que usam o recurso "preview".

Cronologia

• Vulnerabilidade reportada ao fornecedor: 18.07.2024
• Nova versão corrigida 5.2.8 lançada: 07.02.2024
• Divulgação pública: 06.01.2024

Descrição

Vulnerabilidade de Cross-Site-Scripting (XSS) nos arquivos de amostra do CkEditor 4. Esta vulnerabilidade permite que um atacante execute código JavaScript não confiável no contexto do usuário atualmente logado.

A vulnerabilidade existe nos arquivos de amostra que usam o recurso "preview":

samples/old/**/*.html
plugins/[plugin name]/samples/**/*.html

O seguinte código pode ser usado para alcançar XSS usando o recurso "preview":

<p>&gt;</p>

<p><a href="javascript:alert(document.domain)">XSS</a></p>

<p>&nbsp;</p>

Este problema foi causado pela falta de sanitização dos dados passados para o recurso "preview". Este problema foi corrigido no CKEditor 4 na versão 4.24.0-lts.

Versões afetadas

< 4.24.0-lts

Aviso

Atualize o CKEditor 4 para a versão 4.24.0-lts ou superior.

Referências

• https://ckeditor.com/cke4/release-notes
• https://github.com/ckeditor/ckeditor4/security/advisories/GHSA-mw2c-vx6j-mg76
• https://nvd.nist.gov/vuln/detail/CVE-2024-24816