PT-2021-6455 · Unknown+3 · Ckeditor 4+3

Publicado 2021-07-19 · Atualizado 2022-03-22 · CVE-2021-32808

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

CKEditor 4, versões 4.13.0 a 4.16.1

Descrição

Foi descoberta uma vulnerabilidade no plugin Widget da área de transferência quando utilizado em conjunto com o recurso de desfazer no CKEditor 4. Esse problema permite que um usuário abuse da funcionalidade de desfazer usando código HTML malformado do widget, o que pode resultar na execução de código JavaScript. O problema afeta todos os usuários dos plug-ins do CKEditor 4 na versão 4.13.0 e posteriores.

Recomendações

Para as versões 4.13.0 a 4.16.1 do CKEditor 4, atualize para a versão 4.16.2 para resolver o problema.

Como solução temporária, considere desativar o recurso de desfazer ao usar o plug-in Widget da área de transferência até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2022-01665

CVE-2021-32808

GHSA-6226-H7FF-CH6C

USN-5340-1

Produtos afetados

Ckeditor 4

Debian

Linuxmint

Ubuntu

Referências · 30

• https://github.com/ckeditor/ckeditor4/security/advisories/GHSA-6226-h7ff-ch6c · Nota
• https://github.com/ckeditor/ckeditor4/releases/tag/4.16.2 · Nota
• https://github.com/ckeditor/ckeditor4 · Nota
• https://github.com/ckeditor/ckeditor4/commit/0cb59313c834c94cec4c4d4c114b6ecb0270e21a · Nota
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/UVOYN2WKDPLKCNILIGEZM236ABQASLGW · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/UVOYN2WKDPLKCNILIGEZM236ABQASLGW · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-32808 · Aviso do Fabricante
• https://t.me/cibsecurity/27241 · Publicação no Telegram
• https://osv.dev/vulnerability/USN-5340-1 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/NYA354LJP47KCVJMTUO77ZCX3ZK42G3T · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-01665 · Nota de Segurança
• https://oracle.com/security-alerts/cpujan2022.html · Correção
• https://ubuntu.com/security/CVE-2021-32808 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WAGNWHFIQAVCP537KFFS2A2GDG66J7XD · Aviso do Fabricante
• https://oracle.com/security-alerts/cpuoct2021.html · Correção