CKEditor 4.x < 4.24.0-lts 複数の XSS

medium Nessus プラグイン ID 190347

Language:

概要

リモートの Web サーバーは、複数のクロスサイトスクリプティング脆弱性の影響を受ける可能性があります。

説明

リモートの Web ホストに含まれている CKEditor のバージョンは、4.24.0-lts より前の 4.x ですこのため、複数のクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。

- フルページ編集モードを有効にするか、高度なコンテンツフィルタリング構成で CDATA 要素 (デフォルトは「script」および「style」要素) を有効にするエディターインスタンスに影響を与えるクロスサイトスクリプティングの脆弱性があります。この脆弱性により、攻撃者が Advanced Content Filtering メカニズムをバイパスする無効な HTML を挿入し、JavaScript コードが実行される可能性があります。攻撃者が、欠陥のある CDATA コンテンツ検出を悪用し、それを悪用してエディターに対して意図的な攻撃を仕掛ける可能性があります。(CVE-2024-24815)

- 「プレビュー」機能を使用するサンプルにおけるクロスサイトスクリプティングの脆弱性。本番コードでこれらのサンプルを使用するすべてのインテグレーターが影響を受ける可能性があります。この脆弱性により、攻撃者は誤って設定されたプレビュー機能を悪用することで、JavaScript コードを実行する可能性があります。(CVE-2024-24816)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。