## CKEditor 4.14

**Security Updates:**

  -     [CVE-2020-9281](https://nvd.nist.gov/vuln/detail/CVE-202     0-9281) Fixed XSS vulnerability in the HTML data     processor reported by [Micha&#x142;
    Bentkowski](https://twitter.com/securitymb) of     Securitum.

&#9;Issue summary: It was possible to execute XSS inside CKEditor after persuading the victim to: (i) switch CKEditor to source mode, then (ii) paste a specially crafted HTML code, prepared by the attacker, into the opened CKEditor source area, and (iii) switch back to WYSIWYG mode or (i) copy the specially crafted HTML code, prepared by the attacker and (ii) paste it into CKEditor in WYSIWYG mode.

  -     [CVE-2020-9440](https://nvd.nist.gov/vuln/detail/CVE-202     0-9440) Fixed XSS vulnerability in the WebSpellChecker     Dialog plugin reported by [Pham Van     Khanh](https://twitter.com/rskvp93) from Viettel Cyber     Security.

&#9;Issue summary: It was possible to execute XSS using CKEditor after persuading the victim to: (i) switch CKEditor to source mode, then (ii) paste a specially crafted HTML code, prepared by the attacker, into the opened CKEditor source area, then (iii) switch back to WYSIWYG mode, and (iv) preview CKEditor content outside CKEditor editable area.

**An upgrade is highly recommended!**

New features :

  -     [#2374](https://github.com/ckeditor/ckeditor4/issues/237     4): Added support for pasting rich content from     LibreOffice Writer with the [Paste from     LibreOffice](https://ckeditor.com/cke4/addon/pastefromli     breoffice) plugin.

  -     [#2583](https://github.com/ckeditor/ckeditor4/issues/258     3): Changed     [emoji](https://ckeditor.com/cke4/addon/emoji)     suggestion box to show the matched emoji name instead of     an ID.

  -     [#3748](https://github.com/ckeditor/ckeditor4/issues/374     8): Improved the [color     button](https://ckeditor.com/cke4/addon/colorbutton)     state to reflect the selected editor content colors.

  -     [#3661](https://github.com/ckeditor/ckeditor4/issues/366     1): Improved the     [Print](https://ckeditor.com/cke4/addon/print) plugin to     respect styling rendered by the     [Preview](https://ckeditor.com/cke4/addon/preview)     plugin.

  -     [#3547](https://github.com/ckeditor/ckeditor4/issues/354     7): Active     [dialog](https://ckeditor.com/cke4/addon/dialog) tab now     has the `aria-selected='true'` attribute.

  -     [#3441](https://github.com/ckeditor/ckeditor4/issues/344     1): Improved     [`widget.getClipboardHtml()`](https://ckeditor.com/docs/     ckeditor4/latest/api/CKEDITOR_plugins_widget.html#method
    -getClipboardHtml) support for dragging and dropping     multiple     [widgets](https://ckeditor.com/cke4/addon/widget).

Fixed Issues :

  -     [#3587](https://github.com/ckeditor/ckeditor4/issues/358     7): [Edge, IE] Fixed:
    [Widget](https://ckeditor.com/cke4/addon/widget) with     form input elements loses focus during typing.

  -     [#3705](https://github.com/ckeditor/ckeditor4/issues/370     5): [Safari] Fixed: Safari incorrectly removes blocks     with the     [`editor.extractSelectedHtml()`](https://ckeditor.com/do     cs/ckeditor4/latest/api/CKEDITOR_editor.html#method-extr     actSelectedHtml) method after selecting all content.

  -     [#1306](https://github.com/ckeditor/ckeditor4/issues/130     6): Fixed: The     [Font](https://ckeditor.com/cke4/addon/font) plugin     creates nested HTML `<span>` tags when reapplying the     same font multiple times.

  -     [#3498](https://github.com/ckeditor/ckeditor4/issues/349     8): Fixed: The editor throws an error during the copy     operation when a     [widget](https://ckeditor.com/cke4/addon/widget) is     partially selected.

  -     [#2517](https://github.com/ckeditor/ckeditor4/issues/251     7): [Chrome, Firefox, Safari] Fixed: Inserting a new     image when the selection partially covers an existing     [enhanced image](https://ckeditor.com/cke4/addon/image2)     widget throws an error.

  -     [#3007](https://github.com/ckeditor/ckeditor4/issues/300     7): [Chrome, Firefox, Safari] Fixed: Cannot modify the     editor content once the selection is released over a     [widget](https://ckeditor.com/cke4/addon/widget).

  -     [#3698](https://github.com/ckeditor/ckeditor4/issues/369     8): Fixed: Cutting the selected text when a     [widget](https://ckeditor.com/cke4/addon/widget) is     partially selected merges paragraphs.

API Changes :

  -     [#3387](https://github.com/ckeditor/ckeditor4/issues/338     7): Added the     [CKEDITOR.ui.richCombo.select()](https://ckeditor.com/do     cs/ckeditor4/latest/api/CKEDITOR_ui_richCombo.html#metho     d-select) method.

  -     [#3727](https://github.com/ckeditor/ckeditor4/issues/372     7): Added new `textColor` and `bgColor` commands that     apply the selected color chosen by the [Color     Button](https://ckeditor.com/cke4/addon/colorbutton)     plugin.

  -     [#3728](https://github.com/ckeditor/ckeditor4/issues/372     8): Added new `font` and `fontSize` commands that apply     the selected font style chosen by the     [Font](https://ckeditor.com/cke4/addon/colorbutton)     plugin.

  -     [#3842](https://github.com/ckeditor/ckeditor4/issues/384     2): Added the     [`editor.getSelectedRanges()`](https://ckeditor.com/docs     /ckeditor4/latest/api/CKEDITOR_editor.html#method-getSel     ectedRanges) alias.

  -     [#3775](https://github.com/ckeditor/ckeditor4/issues/377     5): Widget     [mask](https://ckeditor.com/docs/ckeditor4/latest/api/CK     EDITOR_plugins_widget.html#property-mask) and     [parts](https://ckeditor.com/docs/ckeditor4/latest/api/C     KEDITOR_plugins_widget.html#property-parts) can now be     refreshed dynamically via API calls.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

## CKEditor 4.14

**セキュリティ更新：**

  - [CVE-2020-9281]（https://nvd.nist.gov/vuln/detail/CVE-2020-9281）Securitumの[Michal 
    Bentkowski氏]（https://twitter.com/securitymb）によって報告されたHTMLデータプロセッサにおけるXSSの脆弱性を修正しました。

	問題の要約：被害者に次のことを説明した後、CKEditor内でXSSを実行する可能性がありました。（i）CKEditorをソースモードに切り替えてから、（ii）攻撃者が用意した特別に細工されたHTMLコードを、開かれているCKEditorソース領域に貼り付け、（iii）WYSIWYGモードに切り替えます。または、（i）攻撃者が用意した特別に細工されたHTMLコードをコピーし、（ii）WYSIWYGモードのCKEditorに貼り付けます。

  - [CVE-2020-9440]（https://nvd.nist.gov/vuln/detail/CVE-2020-9440）Viettel Cyber Securityの[Pham Van Khanh氏]によって報告されたWebSpellChecker DialogプラグインのXSS脆弱性を修正しました（https://twitter.com/rskvp93。

	問題の要約：被害者を次のように誘導し、CKEditorを使用してXSSを実行する可能性がありました。（i）CKEditorをソースモードに切り替えてから、（ii）攻撃者が用意した特別に細工されたHTMLコードを、開かれているCKEditorソース領域に貼り付け、（iii）WYSIWYGモードに切り替えます。さらに、（iv）CKEditorで編集できる領域の外でCKEditorコンテンツをプレビューします。

**アップグレードを強く推奨します**

新機能：

  - [#2374]（https://github.com/ckeditor/ckeditor4/issues/2374): [LibreOfficeからの貼り付け]プラグインを使用して、LibreOffice Writerからリッチコンテンツを貼り付けるサポートを追加しました。（https://ckeditor.com/cke4/addon/pastefromlibreoffice）

  - [#2583]（https://github.com/ckeditor/ckeditor4/issues/2583): [emoji]（https://ckeditor.com/cke4/addon/emoji）提案ボックスが、IDの代わりに一致した絵文字名を表示するように変更しました。

  - [#3748]（https://github.com/ckeditor/ckeditor4/issues/3748): [colorボタン]（https://ckeditor.com/cke4/addon/colorbutton）の状態を改善し、選択したエディターコンテンツの色を反映させるようにしました。

  - [#3661]（https://github.com/ckeditor/ckeditor4/issues/3661): [Preview]（https://ckeditor.com/cke4/addon/preview）プラグインでレンダリングされたスタイリングを順守するために、[Print]（https://ckeditor.com/cke4/addon/print）プラグインを改善しました。

  - [#3547]（https://github.com/ckeditor/ckeditor4/issues/3547):アクティブな[ダイアログ]（https://ckeditor.com/cke4/addon/dialog）タブには、「aria-selected='true'」属性があります。

  - [#3441]（https://github.com/ckeditor/ckeditor4/issues/3441):複数の[widgets]（https://ckeditor.com/cke4/addon/widget）のドラッグアンドドロップに対する改善された[「widget.getClipboardHtml()」]サポート（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_plugins_widget.html#method-getClipboardHtml）。

修正された問題：

  - [#3587]（https://github.com/ckeditor/ckeditor4/issues/3587):）[Edge、IE]修正済み：
    フォーム入力要素を備えた[Widget]（https://ckeditor.com/cke4/addon/widget）がタイピング中にフォーカスを失います。

  - [#3705]（https://github.com/ckeditor/ckeditor4/issues/3705): [Safari]修正済み：Safariは、すべてのコンテンツを選択した後に、[`editor.extractSelectedHtml()`]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_editor.html#method-extractSelectedHtml）メソッドでブロックを不適切に削除します。

  - [#1306]（https://github.com/ckeditor/ckeditor4/issues/1306):修正済み：[Font]（https://ckeditor.com/cke4/addon/font）プラグインは、同じフォントを複数回再適用すると、ネスト化されたHTML「<span>」タグを作成します。

  - [#3498]（https://github.com/ckeditor/ckeditor4/issues/3498):修正済み：[widget]（https://ckeditor.com/cke4/addon/widget）の一部が選択されている場合、エディターがコピー操作中にエラーをスローします。

  - [#2517]（https://github.com/ckeditor/ckeditor4/issues/2517): [Chrome、Firefox、Safari]修正済み：選択が既存の[enhanced image] （https://ckeditor.com/cke4/addon/image2）ウィジェットを部分的にカバーするときに新しい画像を挿入すると、エラーがスローされます。

  - [#3007]（https://github.com/ckeditor/ckeditor4/issues/3007): [Chrome、Firefox、Safari]修正済み：[widget]（https://ckeditor.com/cke4/addon/widget）で選択がリリースされると、エディターのコンテンツを変更できません。

  - [#3698]（https://github.com/ckeditor/ckeditor4/issues/3698):修正済み：[widget]（https://ckeditor.com/cke4/addon/widget）が部分的に選択されているときに選択テキストを切り取ると、段落がマージされます。

API の変更：

  - [#3387]（https://github.com/ckeditor/ckeditor4/issues/3387): [CKEDITOR.ui.richCombo.select()]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_ui_richCombo.html#method-select）メソッドを追加しました。

  - [#3727]（https://github.com/ckeditor/ckeditor4/issues/3727):[Colorボタン]（https://ckeditor.com/cke4/addon/colorbutton）プラグインで選択された選択色を適用する、新しい「textColor」および「bgColor」コマンドが追加されています。

  - [#3728]（https://github.com/ckeditor/ckeditor4/issues/3728):[Font]（https://ckeditor.com/cke4/addon/colorbutton）プラグインで選択された選択フォントスタイルを適用する新しい「font」および「fontSize」コマンドを追加しました。

  - [#3842]（https://github.com/ckeditor/ckeditor4/issues/3842): [`editor.getSelectedRanges()`]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_editor.html#method-getSelectedRanges）エイリアスを追加しました。

  - [#3775]（https://github.com/ckeditor/ckeditor4/issues/3775):ウィジェット[mask]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_plugins_widget.html#property-mask）および[parts]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_plugins_widget.html#property-parts）は、API呼び出しで動的にリフレッシュできるようになりました。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

## CKEditor 4.14

**セキュリティ更新：**

  - [CVE-2020-9281]（https://nvd.nist.gov/vuln/detail/CVE-2020-9281）Securitumの[Michal 
    Bentkowski氏]（https://twitter.com/securitymb）によって報告されたHTMLデータプロセッサにおけるXSSの脆弱性を修正しました。

	問題の要約：被害者に次のことを説明した後、CKEditor内でXSSを実行する可能性がありました。（i）CKEditorをソースモードに切り替えてから、（ii）攻撃者が用意した特別に細工されたHTMLコードを、開かれているCKEditorソース領域に貼り付け、（iii）WYSIWYGモードに切り替えます。または、（i）攻撃者が用意した特別に細工されたHTMLコードをコピーし、（ii）WYSIWYGモードのCKEditorに貼り付けます。

  - [CVE-2020-9440]（https://nvd.nist.gov/vuln/detail/CVE-2020-9440）Viettel Cyber Securityの[Pham Van Khanh氏]によって報告されたWebSpellChecker DialogプラグインのXSS脆弱性を修正しました（https://twitter.com/rskvp93。

	問題の要約：被害者を次のように誘導し、CKEditorを使用してXSSを実行する可能性がありました。（i）CKEditorをソースモードに切り替えてから、（ii）攻撃者が用意した特別に細工されたHTMLコードを、開かれているCKEditorソース領域に貼り付け、（iii）WYSIWYGモードに切り替えます。さらに、（iv）CKEditorで編集できる領域の外でCKEditorコンテンツをプレビューします。

**アップグレードを強く推奨します**

新機能：

  - [#2374]（https://github.com/ckeditor/ckeditor4/issues/2374): [LibreOfficeからの貼り付け]プラグインを使用して、LibreOffice Writerからリッチコンテンツを貼り付けるサポートを追加しました。（https://ckeditor.com/cke4/addon/pastefromlibreoffice）

  - [#2583]（https://github.com/ckeditor/ckeditor4/issues/2583): [emoji]（https://ckeditor.com/cke4/addon/emoji）提案ボックスが、IDの代わりに一致した絵文字名を表示するように変更しました。

  - [#3748]（https://github.com/ckeditor/ckeditor4/issues/3748): [colorボタン]（https://ckeditor.com/cke4/addon/colorbutton）の状態を改善し、選択したエディターコンテンツの色を反映させるようにしました。

  - [#3661]（https://github.com/ckeditor/ckeditor4/issues/3661): [Preview]（https://ckeditor.com/cke4/addon/preview）プラグインでレンダリングされたスタイリングを順守するために、[Print]（https://ckeditor.com/cke4/addon/print）プラグインを改善しました。

  - [#3547]（https://github.com/ckeditor/ckeditor4/issues/3547):アクティブな[ダイアログ]（https://ckeditor.com/cke4/addon/dialog）タブには、「aria-selected = 'true」属性があります。

  - [#3441]（https://github.com/ckeditor/ckeditor4/issues/3441):複数の[widgets]（https://ckeditor.com/cke4/addon/widget）のドラッグアンドドロップに対する改善された[「widget.getClipboardHtml()」]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_plugins_widget.html#method-getClipboardHtml）サポート。

修正された問題：

  - [#3587]（https://github.com/ckeditor/ckeditor4/issues/3587):）[Edge、IE]修正済み：
    フォーム入力要素を備えた[Widget]（https://ckeditor.com/cke4/addon/widget）がタイピング中にフォーカスを失います。

  - [#3705]（https://github.com/ckeditor/ckeditor4/issues/3705): [Safari]修正済み：Safariは、すべてのコンテンツを選択した後に、[`editor.extractSelectedHtml()`]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_editor.html#method-extractSelectedHtml）メソッドでブロックを不適切に削除します。

  - [#1306]（https://github.com/ckeditor/ckeditor4/issues/1306):修正済み：[Font]（https://ckeditor.com/cke4/addon/font）プラグインは、同じフォントを複数回再適用すると、ネスト化されたHTML「<span>」タグを作成します。

  - [#3498]（https://github.com/ckeditor/ckeditor4/issues/3498):修正済み：[widget]（https://ckeditor.com/cke4/addon/widget）の一部が選択されている場合、エディターがコピー操作中にエラーをスローします。

  - [#2517]（https://github.com/ckeditor/ckeditor4/issues/2517): [Chrome、Firefox、Safari]修正済み：選択が既存の[enhanced image] （https://ckeditor.com/cke4/addon/image2）ウィジェットを部分的にカバーするときに新しい画像を挿入すると、エラーがスローされます。

  - [#3007]（https://github.com/ckeditor/ckeditor4/issues/3007): [Chrome、Firefox、Safari]修正済み：[widget]（https://ckeditor.com/cke4/addon/widget）で選択がリリースされると、エディターのコンテンツを変更できません。

  - [#3698]（https://github.com/ckeditor/ckeditor4/issues/3698):修正済み：[widget]（https://ckeditor.com/cke4/addon/widget）が部分的に選択されているときに選択テキストを切り取ると、段落がマージされます。

API の変更：

  - [#3387]（https://github.com/ckeditor/ckeditor4/issues/3387): [CKEDITOR.ui.richCombo.select()]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_ui_richCombo.html#method-select）メソッドを追加しました。

  - [#3727]（https://github.com/ckeditor/ckeditor4/issues/3727):[Colorボタン]（https://ckeditor.com/cke4/addon/colorbutton）プラグインで選択された選択色を適用する、新しい「textColor」および「bgColor」コマンドが追加されています。

  - [#3728]（https://github.com/ckeditor/ckeditor4/issues/3728):[Font]（https://ckeditor.com/cke4/addon/colorbutton）プラグインで選択された選択フォントスタイルを適用する新しい「font」および「fontSize」コマンドを追加しました。

  - [#3842]（https://github.com/ckeditor/ckeditor4/issues/3842): [`editor.getSelectedRanges()`]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_editor.html#method-getSelectedRanges）エイリアスを追加しました。

  - [#3775]（https://github.com/ckeditor/ckeditor4/issues/3775):ウィジェット[mask]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_plugins_widget.html#property-mask）および[parts]（https://ckeditor.com/docs/ckeditor4/latest/api/CKEDITOR_plugins_widget.html#property-parts）は、API呼び出しで動的にリフレッシュできるようになりました。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
134995	Fedora 31 : ckeditor (2020-a832c215bf)	Nessus	Fedora Local Security Checks	2020/3/30	2024/3/20	medium
134988	Fedora 30 : ckeditor (2020-261449d821)	Nessus	Fedora Local Security Checks	2020/3/30	2024/3/20	medium
134988	Fedora 30：ckeditor（2020-261449d821）	Nessus	Fedora Local Security Checks	2020/3/30	2024/3/20	medium
134995	Fedora 31：ckeditor（2020-a832c215bf）	Nessus	Fedora Local Security Checks	2020/3/30	2024/3/20	medium

検出

プラグインの検索

medium

medium

medium

medium