PT-2020-4408 · Cksource+2 · Ckeditor+2

CVE-2020-9281 · Publicado 2020-03-06 · Atualizado 2024-03-06

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.4

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:N

**Nome do software vulnerável e versões afetadas:

Versões 4.0 a 4.14 do CKEditor

Descrição:

Existe uma vulnerabilidade de script entre sites (XSS) devido à validação insuficiente de entradas no Processador de Dados HTML do CKEditor. Isso permite que invasores remotos injetem scripts web arbitrários por meio de um comentário “protegido” especialmente criado, utilizando a sintaxe cke protected. A vulnerabilidade pode ser explorada enviando-se um comentário especialmente formulado, permitindo que invasores realizem ataques de cross-site scripting.

Recomendações:

Para as versões 4.0 a 4.14 do CKEditor, atualize para a versão 4.14 ou posterior para resolver o problema.

Como solução temporária, considere desativar o Processador de Dados HTML ou restringir o uso de comentários “protegidos” até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2020-04936

BIT-DRUPAL-2020-9281

CVE-2020-9281

GHSA-VCJF-MGCG-JXJQ

USN-5340-1

USN-5340-2

Produtos afetados

Ckeditor

Linuxmint

Ubuntu

Referências · 31

• https://github.com/ckeditor/ckeditor4 · Nota
• https://oracle.com/security-alerts/cpujan2021.html · Correção
• https://oracle.com/security-alerts/cpuoct2020.html · Correção
• https://oracle.com/security-alerts/cpujan2022.html · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-5340-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-5340-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-33829 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/L322YA73LCV3TO7ORY45WQDAFJVNKXBE · Aviso do Fabricante
• https://oracle.com/security-alerts/cpuoct2021.html · Nota
• https://oracle.com/security-alerts/cpuApr2021.html · Correção
• https://ubuntu.com/security/CVE-2018-9861 · Aviso do Fabricante
• https://t.me/cvenotify/27111 · Publicação no Telegram
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/L322YA73LCV3TO7ORY45WQDAFJVNKXBE · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/7OJ4BSS3VEAEXPNSOOUAXX6RDNECGZNO · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-drupal-2020-9281 · Aviso do Fabricante