FreeBSD : TinyMCE -- 複数のプラグインの mXSS (9532a361-b84d-11ee-b0d7-84a93843eb75)

medium Nessus プラグイン ID 189397

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、9532a361-b84d-11ee-b0d7-84a93843eb75 のアドバイザリに記載されている脆弱性の影響を受けます。

- TinyMCE は、オープンソースのリッチテキストエディターです。TinyMCE のコアアンドゥ/リドゥ機能、その他の API およびプラグインにミューテーションクロスサイトスクリプティング (mXSS) の脆弱性が発見されました。特定の親内のテキストノードが、HTML 標準に従ったシリアル化でエスケープされません。そのようなテキストノードに内部マーカーとして予約された特殊文字が含まれている場合、それらが他の HTML パターンと結合して悪意のあるスニペットを形成する可能性があります。これらのスニペットは、コンテンツがエディター本体に解析されるときに最初のサニタイズレイヤーを通過しますが、特別な内部マーカーがコンテンツから削除され、再解析されると、XSS をトリガーする可能性があります。この脆弱性は、TinyMCE バージョン 6.7.3 および 5.10.9 でパッチされています。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2023-48219)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。