CVE-2024-37888

本仓库记录了我发现并报告的CVE-2024-37888的漏洞细节及利用方法。

指标

• CWE-79: 在网页生成过程中对输入的不当中和（'跨站脚本'）
• CVSS: 6.1 (中危)

漏洞概述

此概念验证（POC）演示了我最近在 Open Link 插件中发现的一个 XSS 漏洞的利用，该插件一旦启用，会直接影响 CKEditor 4 的所有版本。该漏洞允许通过编辑器内精心构造的链接执行 JavaScript，而该插件未能对其进行清理。此漏洞仅在安装了 Open Link 插件时才能在文本区域内被利用。Open Link 插件允许我们直接在编辑区域内打开链接。

前提条件

1. CKEditor (版本 4.*.*): https://ckeditor.com/ckeditor-4/download/#ckeditor-4
2. Open Link 插件 (版本 < 1.0.5): https://ckeditor.com/cke4/addon/openlink

复现步骤

该漏洞可通过此处预配置的 CKEditor 实例进行测试。

1. 插入 Payload:

   • 打开 CKEditor 实例，点击“Source”图标。

   • 在文本区域中插入以下 payload：

     root@kitploit:~

     <a href="javascript:alert('XSS Found')">XSS</a>
     

   

2. 切换到 WYSIWYG 模式:

   • 再次点击“Source”图标切换回 WYSIWYG 模式。
   • 观察编辑器内的超链接变为可点击状态。

   

3. 触发 XSS:

   • 点击编辑器内的超链接。
   • 观察 XSS payload 被触发，在新标签页中弹出警告框。

   

设置说明

您可以按照以下步骤设置本地实例来测试此漏洞。

1. 下载 CKEditor 4:

   • 下载 CKEditor 4 的完整包开源版本。

   

2. 安装 Open Link 插件:

   • 从此处下载 Open Link 插件版本 1.0.4。
   • 解压并将内容放入 ckeditor/plugins/openlink 目录。

   

3. 更新配置以包含 OpenLink 插件:

   • 修改 CKEditor 的 config.js 文件，在末尾添加以下行：
   root@kitploit:~

   config.extraPlugins = 'openlink';
   config.linkShowTargetTab = false; // 隐藏链接目标标签页
   config.openlink_modifier = 0; // 打开链接无需修饰键
   config.openlink_enableReadOnly = true; // 允许在只读模式下打开链接
   

   • 示例 config.js：
   root@kitploit:~

   CKEDITOR.editorConfig = function( config ) {
       // 在此定义对默认配置的更改。
       config.extraPlugins = 'openlink';
       config.linkShowTargetTab = false;
       config.openlink_modifier = 0;
       config.openlink_enableReadOnly = true;
   };
   

结论

此漏洞存在于 Open Link 插件的代码库中，而非 CKEditor 4 的代码库。上述 POC 演示了通过 CKEditor 4.*.* 中的 Open Link 插件利用 XSS 漏洞的过程。该漏洞允许通过特制链接执行任意 JavaScript，构成重大安全风险。

安全公告

• Open Link 插件维护者发布的官方安全公告见 https://github.com/mlewand/ckeditor-plugin-openlink/security/advisories/GHSA-rhxf-gvmh-hrxm。

补充说明

• 请注意，如果您希望在其他地方显示编辑器内容，应始终对其进行适当过滤。
• 至于链接上的 onclick 属性，可通过 config.disallowedContent 配置选项禁止：

config.disallowedContent = 'a[onclick]';

重要链接

• https://github.com/mlewand/ckeditor-plugin-openlink/security/advisories/GHSA-rhxf-gvmh-hrxm
• https://nvd.nist.gov/vuln/detail/CVE-2024-37888
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-37888
• https://7ragnarok7.github.io/CVE-2024-37888/