Podatności CKEditor

Wtyczka CKEditor v1.2.3 dla Redmine zawiera lukę umożliwiającą nieograniczone przesyłanie plików w funkcji 'Przeglądaj i przesyłaj obrazy', co pozwala na wgranie dowolnych plików na serwer.

CKEditor 4.0 przed wersją 4.14 zawiera podatność na cross-site scripting (XSS) w procesorze danych HTML. Zdalny atakujący może wstrzyknąć dowolny skrypt przez spreparowany komentarz "protected" (z składnią cke_protected).

CKEditor 5 to nowoczesny edytor tekstu JavaScript z architekturą MVC. Od wersji 45.0.0 do 47.7.4 i 48.5.1 silnik używa podatnej wersji es-toolkit, której zachowanie związane z zanieczyszczeniem prototypu może zostać osiągnięte podczas przetwarzania przez CKEditor przychodzących wartości atrybutów style. Spreparowana zawartość edytora może w ten sposób spowodować nieautoryzowane wykonanie kodu JavaScript w przeglądarce. Problem został naprawiony w wersjach 47.7.4 i 48.5.1.

W CKEditor 5 w wersjach od 29.0.0 do 47.7.4 oraz 48.5.1 specjalnie spreparowany znacznik może wywołać cross-site scripting, gdy włączona jest opcja General HTML Support i skonfigurowana do zezwalania na zawartość obiektów. Przetwarzanie takiej zawartości może wykonać JavaScript kontrolowany przez atakującego w kontekście przeglądarki odizolowanym od źródła aplikacji osadzającej edytor. Problem naprawiono w wersjach 47.7.4 i 48.5.1.

W CKEditor 4 przed wersją 4.16 możliwe było przeprowadzenie ataku typu ReDoS poprzez nakłonienie ofiary do wklejenia spreparowanego tekstu przypominającego URL do edytora, a następnie naciśnięcia Enter lub Spacji (w pluginie Autolink).

W CKEditor 4 przed wersją 4.16 możliwe było przeprowadzenie ataku typu ReDoS poprzez nakłonienie ofiary do wklejenia spreparowanego tekstu do pola Styles w określonych dialogach (w pluginie Advanced Tab for Dialogs).

Podatność na cross-site scripting (XSS) w pluginie Color Dialog dla CKEditor 4.15.0 pozwala zdalnym atakującym na uruchomienie dowolnego skryptu po nakłonieniu użytkownika do skopiowania i wklejenia spreparowanego kodu HTML do jednego z pól edytora.