PT-2021-24350 · Tinymce · Tinymce
William Bowling
·
Publicado
2021-10-22
·
Atualizado
2025-11-28
·
CVE-2024-21908
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
**Nome do software vulnerável e versões afetadas:
Versões do TinyMCE anteriores à 5.9.0
Descrição:
Uma vulnerabilidade de cross-site scripting armazenada afeta o TinyMCE, permitindo que um invasor remoto e não autenticado insira código HTML malicioso no editor. Isso resulta na execução arbitrária de JavaScript no navegador de outro usuário. A vulnerabilidade se deve a uma falha na lógica de validação de esquema do analisador central, que pode ser explorada ao inserir conteúdo especialmente criado no editor usando a área de transferência ou as APIs do editor.
Recomendações:
Para resolver o problema, atualize para o TinyMCE 5.9.0 ou superior. Como alternativa, sanitize manualmente o conteúdo usando o evento
BeforeSetContent. Por exemplo, use o código a seguir para sanitizar o conteúdo:js
editor.on(‘BeforeSetContent’, function(e) {
var sanitizedContent = ...; // Sanitize manualmente o conteúdo aqui
e.content = sanitizedContent;
});
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Tinymce