CVE-2024-24815
Açıklama
CKEditor4 açık kaynaklı bir zengin metin (WYSIWYG) HTML editörüdür. CKEditor4'ün 4.24.0-lts öncesindeki sürümlerinde, çekirdek HTML ayrıştırma modülünde bir siteler arası betik çalıştırma (XSS) zafiyeti keşfedilmiştir. Bu durum, tam sayfa düzenleme modu etkinleştirilmiş veya Gelişmiş İçerik Filtreleme yapılandırmasında CDATA öğeleri (`script` ve `style` öğeleri varsayılandır) etkinleştirilmiş tüm editör örneklerini etkileyebilir. Zafiyet, saldırganların Gelişmiş İçerik Filtreleme mekanizmasını atlayarak hatalı biçimlendirilmiş HTML içeriği enjekte etmesine olanak tanır ve bu da JavaScript kodunun çalıştırılmasıyla sonuçlanabilir. Bir saldırgan, hatalı CDATA içerik tespitini kötüye kullanabilir ve bunu editöre yönelik kasıtlı bir saldırı hazırlamak için kullanabilir. 4.24.0-lts sürümünde bir düzeltme mevcuttur.
Nasıl düzeltilir
- ckeditor ckeditor4.24.0 ya da sonraki bir sürüm
- ckeditor44.24.0-lts ya da sonraki bir sürüm
- ckeditor/ckeditor4.24.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ckeditor ckeditor | 4.0 ≤ v < 4.24.0 | 4.24.0 |
| ckeditor4npm | v < 4.24.0-lts | 4.24.0-lts |
| ckeditor/ckeditorPackagist | v < 4.24.0 | 4.24.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.