PT-2021-24386 · Tinymce · Tinymce

Publicado 2021-05-28 · Atualizado 2021-05-28

Positive Technologies (AI Summary) · Pt

**Nome do software vulnerável e versões afetadas:

TinyMCE versões 5.7.0 e anteriores

Descrição:

Foi encontrada uma vulnerabilidade de cross-site scripting (XSS) na lógica de sanitização de URL do analisador principal para elementos form. Isso permitia a execução arbitrária de JavaScript ao inserir conteúdo especialmente criado no editor usando a área de transferência ou APIs e, em seguida, enviar o formulário. No entanto, como o TinyMCE não permite que formulários sejam enviados durante a edição, a vulnerabilidade só poderia ser acionada quando o conteúdo fosse visualizado ou renderizado fora do editor.

Recomendações:

• Atualize para o TinyMCE 5.7.1 ou superior
• Sanitize manualmente os atributos de URL form usando um filtro de nó do TinyMCE
• Desative os elementos form em seu conteúdo usando a configuração invalid elements, por exemplo, definindo invalid elements: ‘form’
• Como solução temporária, considere adicionar um filtro de nó ao analisador do editor para sanitizar os atributos do elemento form, como editor.parser.addNodeFilter(‘form’, function(nodes) {...}) para sanitizar os valores dos atributos.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

GHSA-5VM8-HHGR-JCJP

Produtos afetados

Tinymce

Referências · 2

• https://github.com/tinymce/tinymce/security/advisories/GHSA-5vm8-hhgr-jcjp · Nota
• https://osv.dev/vulnerability/GHSA-5vm8-hhgr-jcjp · Aviso do Fabricante