自己報告されたバージョン番号によると、リモートホストで実行されている CKEditor アプリケーションは 4.24.0-LTS より前です。したがって、複数のクロスサイトスクリプティングの影響を受けます。

- 実稼働コードと共に出荷される内部サンプル。この脆弱性により、誤って設定されたプレビュー機能が悪用され、JavaScript コードが実行される可能性があります。- 実稼働コードと共に出荷される内部サンプル。この脆弱性により、AJAX サンプルが悪用され、JavaScript コードが実行される可能性があります。- スループロセッシングのコアモジュール。この脆弱性により、Advanced Content Filtering メカニズムをバイパスする無効な HTML が挿入され、JavaScript コードが実行される可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Web ホストに含まれている CKEditor のバージョンは、4.24.0-lts より前の 4.x です このため、複数のクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。

 - フルページ編集モードを有効にするか、高度なコンテンツフィルタリング構成で CDATA 要素 (デフォルトは「script」および「style」要素) を有効にするエディターインスタンスに影響を与えるクロスサイトスクリプティングの脆弱性があります。この脆弱性により、攻撃者が Advanced Content Filtering メカニズムをバイパスする無効な HTML を挿入し、JavaScript コードが実行される可能性があります。攻撃者が、欠陥のある CDATA コンテンツ検出を悪用し、それを悪用してエディターに対して意図的な攻撃を仕掛ける可能性があります。(CVE-2024-24815)

 - 「プレビュー」機能を使用するサンプルにおけるクロスサイトスクリプティングの脆弱性。本番コードでこれらのサンプルを使用するすべてのインテグレーターが影響を受ける可能性があります。この脆弱性により、攻撃者は誤って設定されたプレビュー機能を悪用することで、JavaScript コードを実行する可能性があります。(CVE-2024-24816)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 15 ホストにインストールされているパッケージは、openSUSE- SU-2025:0008-1 のアドバイザリに記載されている脆弱性の影響を受けます。

    - 6.7.2 への更新
      * パッケージを廃止しました。
      * 新しい ckeditor/fixups.js スクリプトを追加しました。これは、バージョンチェックを再び無効にし (何かが偶発的に漏れた場合)、CKEditor 4 が contenteditable 属性を持つ無関係の HTML 要素に自動的に添付する挙動を無効にします (CKEditor 4 ドキュメントの CKEDITOR.disableAutoInline を参照)。
    - CVE-2024-24815: Advanced Content Filtering メカニズムのバイパスを修正した (boo#1219720)

    - 6.7.1 への更新:
      * Python を追加 3.12、Django 5.0
      * CKEditor バージョンチェック/nag を停止させるが、システムチェックの警告を含める

    - 6.7.0 への更新:
      * ダークモードの修正。
      * Pillow 10 のサポートを追加した。

    - 6.6.1 への更新:
      * 実際に Django 4.1 で動作する、より新しいバージョンの django-js-asset が必要だった。
      * CKEditor 4.21.0
      * ダークな Django 管理テーマで使用された場合の CKEditor スタイルを修正した。

    - 6.5.1 への更新:
      * ``CKEDITOR_BASEPATH`` が定義されている場合、``static()`` の呼び出しを回避した。
      * 画像アップローダーのバックエンド修正後に、``./manage.py generateckeditorthumbnails`` が再び機能するように修正した。
      * CKEditor 4.19.1
      * アプリケーションの起動中に、``static()`` の呼び出しを停止した。
      * Django 4.1 を追加した 
      * Django から逸脱しないようにウィジェットのコンテキストを変更した。次のものを削除
      * バンドルされたパッケージで使用されていない少数のテンプレート変数
      * ``ckeditor/widget.html`` テンプレート。この影響を受けるのは、次のものを使用している場合です
      * カスタマイズされたウィジェットまたはウィジェットテンプレート。
      * Python < 3.8、Django < 3.2のサポートをドロップした。
      * pre-commit 設定を追加した。
      * 実行テスト用の GitHub アクションを追加した。
      * Selenium テストでは、``SELENIUM=firefox`` または ``SELENIUM=chromium`` 環境変数を使用することを選択する必要があるようにした。
      * ウィジェットクラスで CKEditor テンプレートをオーバーライドできるようにした。
      * ドット付きモジュールパスを必要とするように ``CKEDITOR_IMAGE_BACKEND`` を変更した (古い識別子は現在もサポートされている)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている IBM Engineering Requirements Management DOORS (旧 IBM Rational DOORS) のバージョンは、9.7.2.10 より前の 9.7.2.9 です。したがって、7238992アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - CKEditor4 はオープンソースの WYSIWYG HTML エディターです。影響を受けるバージョンのコア HTML 処理モジュールに脆弱性が発見されました。CKEditor 4 が使用するすべてのプラグインに影響を与える可能性があります。この脆弱性により、無効な形式のコメントの HTML が挿入されてコンテンツのサニタイズがバイパスされ、JavaScript コードが実行される可能性があります。バージョン < 4.17.0 の CKEditor 4 を使用しているすべてのユーザーに影響します。この問題は認識され、パッチが適用されました。この修正は、バージョン 4.17.0 で利用可能です。(CVE-2021-41165)

  - CKEditor4 はオープンソースの WYSIWYG HTML エディターです。影響を受けるバージョンの Advanced Content Filter (ACF) モジュールに脆弱性が発見されました。CKEditor 4 が使用するすべてのプラグインに影響を与える可能性があります。この脆弱性により、無効な形式の HTML が挿入されてコンテンツのサニタイズがバイパスされ、JavaScript コードが実行される可能性があります。バージョン < 4.17.0 の CKEditor 4 を使用しているすべてのユーザーに影響します。この問題は認識され、パッチが適用されました。この修正は、バージョン 4.17.0 で利用可能です。(CVE-2021-41164)

  - 4.16 より前の CKEditor 4 内で、被害者を誘導して特定のダイアログの Styles 入力に細工されたテキストを貼り付けることで、ReDoS タイプの攻撃を実行することが可能でした。Dialogs プラグイン用の Advanced Tab 内。CVE-2021-26271

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 ホストには USN-7258-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Kevin Backhouse 氏は、CKEditor が HTML コンテンツを適切にサニタイズしていないことを発見しました。攻撃者はこの問題を利用してクロスサイトスクリプティングを実行し、機密情報を取得する可能性があります。この問題は、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、および Ubuntu 22.04 LTS にのみ影響を与えます。(CVE-2022-24728)

    CKEditor が Iframe Dialog および Media Embed パッケージでエディターインスタンスの作成を適切に処理していないことを検出しました。攻撃者はこの問題を利用してクロスサイトスクリプティングを実行し、機密情報を取得する可能性があります。この問題は、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、および Ubuntu 22.04 LTS にのみ影響を与えます。(CVE-2023-28439)

    CKEditor が HTML コンテンツの解析を適切に処理しないことが判明しました。攻撃者はこの問題を利用してクロスサイトスクリプティングを実行し、機密情報を取得する可能性があります。(CVE-2024-24815、CVE-2024-24816)

    CKEditor がバージョン通知を適切にサニタイズしないことが判明しました。攻撃者はこの問題を利用してクロスサイトスクリプティングを実行し、機密情報を取得する可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS と Ubuntu 24.10 のみです。(CVE-2024-43411)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
114426	CKEditor < 4.24.0-LTS 複数のクロスサイトスクリプティング	Web App Scanning	Component Vulnerability	2024/9/9	2024/9/9	medium
190347	CKEditor 4.x < 4.24.0-lts 複数の XSS	Nessus	CGI abuses : XSS	2024/2/9	2025/2/28	medium
213541	openSUSE 15 セキュリティ更新プログラム: python-django-ckeditor (openSUSE-SU-2025:0008-1)	Nessus	SuSE Local Security Checks	2025/1/8	2025/1/8	medium
242323	IBM Engineering Requirements Management DOORS 9.7.2.9 < 9.7.2.10 の複数の脆弱性7238992	Nessus	Windows	2025/7/18	2025/7/22	medium
215049	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 : CKEditor の脆弱性 (USN-7258-1)	Nessus	Ubuntu Local Security Checks	2025/2/6	2025/2/28	medium

検出

プラグインの検索

medium

medium

medium

medium

medium