Ckeditor3
Уязвимости
18
Эксплуатируемые
0
Макс. CVSS
8.8
Макс. EPSS
0.18734
Распределение по критичности
Критический
0
Высокий
2
Средний
14
Низкий
2
Также сопоставлено как (исходные строки): ckeditor3
Топ уязвимостей
CVE-2023-22457CKEditor Integration UI добавляет поддержку редактирования вики-страниц с помощью CKEditor. В версиях до 1.64.3 в документе `CKEditor.HTMLConverter` отсутствовала защита от межсайтовой подделки запросов (CSRF), что позволяло выполнять макросы с правами текущего пользователя. Если привилегированного пользователя с правами программирования обманом заставили выполнить GET-запрос к этому документу с определенными параметрами (например, через изображение с соответствующим URL-адресом, встроенным в комментарий, или через перенаправление), это позволило бы произвольное удаленное выполнение кода, и злоумышленник мог бы получить права, получить доступ к личной информации или повлиять на доступность вики. Проблема была исправлена в CKEditor Integration версии 1.64.3. Это также было исправлено в версии интеграции CKEditor, которая поставляется вместе с XWiki 14.6 RC1. Нет известных обходных путей, кроме обновления интеграции CKEditor до исправленной версии.
CVE-2022-24729CKEditor4 - это HTML-редактор с открытым исходным кодом, работающий по принципу WYSIWYG. CKEditor4 до версии 4.18.0 содержит уязвимость в плагине `dialog`. Уязвимость позволяет злоупотреблять регулярным выражением валидатора ввода диалога, что может привести к значительному снижению производительности, что приведет к зависанию вкладки браузера. Исправление доступно в версии 4.18.0. В настоящее время нет известных обходных путей.
CVE-2021-21391CKEditor 5 предоставляет решение для редактирования WYSIWYG. Это CVE затрагивает следующие пакеты npm: ckeditor5-engine, ckeditor5-font, ckeditor5-image, ckeditor5-list, ckeditor5-markdown-gfm, ckeditor5-media-embed, ckeditor5-paste-from-office и ckeditor5-widget. После внутреннего аудита в нескольких пакетах CKEditor 5 была обнаружена уязвимость типа "отказ в обслуживании" из-за регулярных выражений (ReDoS). Уязвимость позволяла злоупотреблять определенными регулярными выражениями, что могло привести к значительному снижению производительности, приводящему к зависанию вкладки браузера. Это затрагивает всех пользователей, использующих пакеты CKEditor 5, перечисленные выше, в версии <= 26.0.0. Проблема была выявлена и исправлена. Исправление будет доступно в версии 27.0.0.
CVE-2024-43407CKEditor4 — это HTML-редактор с открытым исходным кодом, работающий по принципу «что видишь, то и получаешь». В плагине CKEditor 4 Code Snippet GeSHi обнаружена потенциальная уязвимость. Уязвимость позволяла проводить отраженную XSS-атаку, эксплуатируя недостаток в библиотеке подсветки синтаксиса GeSHi, размещенной жертвой. Библиотека GeSHi была включена в исходные файлы CKEditor 4 в качестве зависимости поставщика. В конкретном сценарии злоумышленник мог создать вредоносный скрипт, который мог быть выполнен путем отправки запроса в библиотеку GeSHi, размещенную на PHP-веб-сервере. Библиотека GeSHi больше не поддерживается активно. Из-за отсутствия текущей поддержки и обновлений были выявлены потенциальные уязвимости безопасности при ее дальнейшем использовании. Чтобы снизить эти риски и повысить общую безопасность CKEditor 4, мы решили полностью удалить библиотеку GeSHi в качестве зависимости. Это изменение направлено на поддержание безопасной среды и снижение риска любых инцидентов безопасности, связанных с устаревшим или неподдерживаемым программным обеспечением. Исправление будет доступно в версии 4.25.0-lts.
CVE-2024-24816CKEditor4 — это HTML-редактор с открытым исходным кодом, работающий по принципу WYSIWYG (что видишь, то и получаешь). Уязвимость межсайтового скриптинга обнаружена в версиях до 4.24.0-lts в образцах, использующих функцию `preview`. Это может повлиять на всех интеграторов, которые используют эти примеры в производственном коде. Уязвимость позволяет злоумышленнику выполнять код JavaScript, злоупотребляя неправильно настроенной функцией предварительного просмотра. Это затрагивает всех пользователей, использующих CKEditor 4 в версии < 4.24.0-lts с затронутыми примерами, используемыми в рабочей среде. Исправление доступно в версии 4.24.0-lts.
CVE-2024-24815CKEditor4 — это редактор HTML с открытым исходным кодом, работающий по принципу "что вы видите, то и получаете". Уязвимость межсайтового скриптинга была обнаружена в основном модуле разбора HTML в версиях CKEditor4 до 4.24.0-lts. Это может затронуть все экземпляры редактора, которые включили режим редактирования на полной странице или разрешили элементы CDATA в конфигурации Расширенной фильтрации контента (по умолчанию `script` и `style` элементы). Эта уязвимость позволяет злоумышленникам вводить некорректный HTML-контент, обходя механизм Расширенной фильтрации контента, что может привести к выполнению кода JavaScript. Злоумышленник мог бы воспользоваться ошибочным обнаружением содержания CDATA и использовать это для подготовки преднамеренной атаки на редактор. Исправление доступно в версии 4.24.0-lts.
CVE-2023-4771В CKSource CKEditor обнаружена уязвимость межсайтового скриптинга, затрагивающая версии 4.15.1 и более ранние. Злоумышленник может отправить вредоносный код javascript через файл /ckeditor/samples/old/ajax.html и получить информацию об авторизованном пользователе.
CVE-2023-28439CKEditor4 - это редактор HTML, работающий по принципу WYSIWYG с открытым исходным кодом. Обнаружена уязвимость межсайтового скриптинга, затрагивающая пакеты Iframe Dialog и Media Embed. Уязвимость может вызвать выполнение кода JavaScript после выполнения специальных условий: использование одного из затронутых пакетов на веб-странице с отсутствующей надлежащей конфигурацией политики безопасности контента; инициализация редактора на элементе и использование элемента, отличного от `<textarea>`, в качестве основы; и уничтожение экземпляра редактора. Эта уязвимость может повлиять на небольшую долю интеграторов, которые зависят от механизма динамической инициализации/уничтожения редактора.
Исправление доступно в версии CKEditor4 4.21.0. В некоторых редких случаях исправление безопасности может считаться нарушением совместимости. Начиная с версии 4.21.0, плагин Iframe Dialog по умолчанию применяет атрибут `sandbox`, который ограничивает выполнение JavaScript-кода в элементе iframe. Чтобы изменить это поведение, настройте параметр `config.iframe_attributes`. Также начиная с версии 4.21.0 плагин Media Embed по умолчанию заново генерирует весь контент виджета встраивания. Чтобы изменить это поведение, настройте параметр `config.embed_keepOriginalContent`. Тем, кто решает включить любые из более разрешительных опций или кто не может обновиться до исправленной версии, следует правильно настроить политику безопасности контента, чтобы избежать любых потенциальных проблем с безопасностью, которые могут возникнуть при встраивании элементов iframe на их веб-странице.
CVE-2022-48110Обнаружено, что CKSource CKEditor 5 35.4.0 содержит уязвимость cross-site scripting (XSS) через виджет Full Featured CKEditor5. ПРИМЕЧАНИЕ: позиция поставщика заключается в том, что это не уязвимость. В документации CKEditor 5 обсуждается, что интегратор (который добавляет функциональность CKEditor 5 на веб-сайт) несет ответственность за выбор правильных настроек безопасности для своего варианта использования. Кроме того, установлены безопасные значения по умолчанию (например, config.htmlEmbed.showPreviews имеет значение false).
CVE-2025-61261Отраженная уязвимость кросс-сайтов (XSS) в CKeditor v46.1.0 и Angular v18.0.0 позволяет злоумышленникам выполнять произвольный код в контексте браузера пользователя путем инъекции созданной полезной нагрузки.
CVE-2022-24728CKEditor4 - это HTML-редактор с открытым исходным кодом, работающий по принципу WYSIWYG. В основном модуле обработки HTML обнаружена уязвимость, которая может повлиять на все плагины, используемые CKEditor 4 до версии 4.18.0. Уязвимость позволяет кому-либо внедрять некорректный HTML, минуя очистку содержимого, что может привести к выполнению кода JavaScript. Эта проблема была исправлена в версии 4.18.0. В настоящее время нет известных обходных путей.
CVE-2021-41165CKEditor4 - это редактор HTML WYSIWYG с открытым исходным кодом. В уязвимой версии была обнаружена уязвимость в основном модуле обработки HTML, которая может затронуть все плагины, используемые CKEditor 4. Уязвимость позволяла внедрять неправильно сформированные комментарии HTML, минуя очистку содержимого, что могло привести к выполнению кода JavaScript. Это затрагивает всех пользователей, использующих CKEditor 4 версии < 4.17.0. Проблема была признана и исправлена. Исправление будет доступно в версии 4.17.0.
CVE-2021-41164CKEditor4 - это редактор HTML WYSIWYG с открытым исходным кодом. В уязвимых версиях была обнаружена уязвимость в модуле Advanced Content Filter (ACF), которая может затронуть все плагины, используемые CKEditor 4. Уязвимость позволяла внедрять неправильно сформированный HTML, минуя очистку содержимого, что могло привести к выполнению кода JavaScript. Это затрагивает всех пользователей, использующих CKEditor 4 версии < 4.17.0. Проблема была признана и исправлена. Исправление будет доступно в версии 4.17.0.
CVE-2021-37695ckeditor — это HTML-редактор WYSIWYG с открытым исходным кодом и поддержкой расширенного контента. В CKEditor 4 [Fake Objects](https://ckeditor.com/cke4/addon/fakeobjects) была обнаружена потенциальная уязвимость. Уязвимость позволяла внедрять некорректный HTML-код Fake Objects, что могло привести к выполнению кода JavaScript. Это затрагивает всех пользователей, использующих перечисленные выше плагины CKEditor 4 в версии < 4.16.2. Проблема была обнаружена и исправлена. Исправление будет доступно в версии 4.16.2.
CVE-2024-45613CKEditor 5 - это JavaScript rich-text редактор. Начиная с версии 40.0.0 и до версии 43.1.1, в пакете CKEditor 5 clipboard присутствует уязвимость межсайтового скриптинга (XSS). Эта уязвимость может быть вызвана определенным действием пользователя, приводящим к несанкционированному выполнению кода JavaScript, если злоумышленнику удалось вставить вредоносный контент в редактор, что может произойти при очень специфической конфигурации редактора. Эта уязвимость затрагивает только установки, в которых включен плагин Block Toolbar и либо General HTML Support (с конфигурацией, разрешающей небезопасную разметку), либо HTML Embed plugin. Исправление проблемы доступно в версии 43.1.1. В качестве обходного пути можно отключить плагин block toolbar.
CVE-2022-31175CKEditor 5 — это JavaScript-редактор форматированного текста. Была обнаружена уязвимость межсайтового скриптинга, затрагивающая три необязательных пакета CKEditor 5 в версиях до 35.0.1. Уязвимость позволяла запускать код JavaScript после выполнения специальных условий. Затронутые пакеты: `@ckeditor/ckeditor5-markdown-gfm`, `@ckeditor/ckeditor5-html-support` и `@ckeditor/ckeditor5-html-embed`. Конкретные условия: 1) Использование одного из затронутых пакетов. В случае `ckeditor5-html-support` и `ckeditor5-html-embed`, дополнительно требовалось использовать конфигурацию, которая разрешает небезопасную разметку внутри редактора. 2) Уничтожение экземпляра редактора и 3) Инициализация редактора на элементе и использование элемента, отличного от `<textarea>`, в качестве основы. Основной причиной проблемы был механизм, отвечающий за обновление исходного элемента с разметкой, поступающей из конвейера данных CKEditor 5 после уничтожения редактора. Эта уязвимость может затронуть небольшой процент интеграторов, которые зависят от динамической инициализации/уничтожения редактора и используют функции Markdown, General HTML Support или HTML embed. Проблема была признана и исправлена. Исправление доступно в версии 35.0.1. Обходных путей для решения этой проблемы нет.
CVE-2024-43411CKEditor4 — это HTML-редактор с открытым исходным кодом, работающий по принципу «что видишь, то и получаешь». В CKEditor 4.22 (и выше) выявлена теоретическая уязвимость. В крайне маловероятном сценарии, когда злоумышленник получает контроль над доменом https://cke4.ckeditor.com, он потенциально может выполнить атаку на экземпляры CKEditor 4. Проблема затрагивает только экземпляры редактора с включенными уведомлениями о версиях. Обратите внимание, что эта функция отключена по умолчанию во всех версиях CKEditor 4 LTS. Поэтому, если вы используете CKEditor 4 LTS, крайне маловероятно, что вы подвержены этой уязвимости. Если вы не уверены, свяжитесь с нами. Исправление доступно в версии 4.25.0-lts.
CVE-2025-25299CKEditor 5 - это современный редактор текста с поддержкой JavaScript и архитектурой MVC. В ходе недавней внутренней проверки в пакете совместной работы в реальном времени CKEditor 5 была обнаружена уязвимость Cross-Site Scripting (XSS). Эта уязвимость затрагивает маркеры пользователей, которые представляют собой позиции пользователей в документе. Это может привести к несанкционированному выполнению JavaScript-кода, что может произойти при очень специфической конфигурации редактора и токена конечной точки. Эта уязвимость затрагивает лишь установки с включенным редактированием в реальном времени. Проблема была обнаружена и исправлена. Исправление доступно в версии 44.2.1 (и выше). Пользователям рекомендуется обновиться. Известных обходных путей для этой уязвимости нет.