CVE-2026-116688
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
CKEditor 5 to nowoczesny edytor tekstu JavaScript z architekturą MVC. Od wersji 45.0.0 do 47.7.4 i 48.5.1 silnik używa podatnej wersji es-toolkit, której zachowanie związane z zanieczyszczeniem prototypu może zostać osiągnięte podczas przetwarzania przez CKEditor przychodzących wartości atrybutów style. Spreparowana zawartość edytora może w ten sposób spowodować nieautoryzowane wykonanie kodu JavaScript w przeglądarce. Problem został naprawiony w wersjach 47.7.4 i 48.5.1.
Ocena ryzyka
Podatność umożliwia atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji lub przejęcia konta.
Rekomendacja
Należy zaktualizować CKEditor 5 do wersji 47.7.4 lub 48.5.1 (lub nowszej). Zaleca się również przegląd treści wprowadzanych przez użytkowników pod kątem złośliwych atrybutów style.
Inne podatności w CKEditor 5
Zobacz wszystkie- CVE-2023-31541Krytyczne
Wtyczka CKEditor v1.2.3 dla Redmine zawiera lukę umożliwiającą nieograniczone przesyłanie plików w funkcji 'Przeglądaj i przesyłaj obrazy', co pozwala na wgranie dowolnych plików na serwer.
- CVE-2020-9281Średnie
CKEditor 4.0 przed wersją 4.14 zawiera podatność na cross-site scripting (XSS) w procesorze danych HTML. Zdalny atakujący może wstrzyknąć dowolny skrypt przez spreparowany komentarz "protected" (z składnią cke_protected).
- CVE-2026-116687Niskie
W CKEditor 5 w wersjach od 29.0.0 do 47.7.4 oraz 48.5.1 specjalnie spreparowany znacznik może wywołać cross-site scripting, gdy włączona jest opcja General HTML Support i skonfigurowana do zezwalania na zawartość obiektów. Przetwarzanie takiej zawartości może wykonać JavaScript kontrolowany przez atakującego w kontekście przeglądarki odizolowanym od źródła aplikacji osadzającej edytor. Problem naprawiono w wersjach 47.7.4 i 48.5.1.
- CVE-2021-26272Średnie
W CKEditor 4 przed wersją 4.16 możliwe było przeprowadzenie ataku typu ReDoS poprzez nakłonienie ofiary do wklejenia spreparowanego tekstu przypominającego URL do edytora, a następnie naciśnięcia Enter lub Spacji (w pluginie Autolink).
- CVE-2021-26271Średnie
W CKEditor 4 przed wersją 4.16 możliwe było przeprowadzenie ataku typu ReDoS poprzez nakłonienie ofiary do wklejenia spreparowanego tekstu do pola Styles w określonych dialogach (w pluginie Advanced Tab for Dialogs).
- CVE-2020-27193Średnie
Podatność na cross-site scripting (XSS) w pluginie Color Dialog dla CKEditor 4.15.0 pozwala zdalnym atakującym na uruchomienie dowolnego skryptu po nakłonieniu użytkownika do skopiowania i wklejenia spreparowanego kodu HTML do jednego z pól edytora.
Oryginalny opis (angielski, źródło NVD)
CKEditor 5 is a modern JavaScript rich-text editor with an MVC architecture. From 45.0.0 until 47.7.4 and 48.5.1, the engine uses a vulnerable es-toolkit version whose prototype-pollution behavior can be reached while CKEditor processes incoming style attribute values. Crafted editor content can thereby cause unauthorized JavaScript execution in the browser. This issue is fixed in versions 47.7.4 and 48.5.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS