PT-2022-20587 · Cksource · Ckeditor 5

Mgsypublished

·

Publicado

2022-08-03

·

Atualizado

2022-08-09

·

CVE-2022-31175

CVSS v3.1

5.8

Média

VetorAV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L
Nome do software vulnerável e versões afetadas
Versões do CKEditor 5 anteriores à 35.0.1
Descrição
Foi descoberta uma vulnerabilidade de cross-site scripting no CKEditor 5, afetando três pacotes opcionais: @ckeditor/ckeditor5-markdown-gfm, @ckeditor/ckeditor5-html-support e @ckeditor/ckeditor5-html-embed. A vulnerabilidade permite a execução de código JavaScript após o cumprimento de condições específicas, incluindo o uso de um dos pacotes afetados, a destruição da instância do editor e a inicialização do editor em um elemento diferente de <textarea>. A causa principal é um mecanismo responsável por atualizar o elemento de origem com marcação do pipeline de dados do CKEditor 5 após a destruição do editor. Esse problema pode afetar uma pequena porcentagem de integradores que dependem da inicialização/destruição dinâmica do editor e usam recursos de Markdown, suporte geral a HTML ou incorporação de HTML.
Recomendações
Para versões anteriores à 35.0.1, atualize para a versão 35.0.1 para resolver o problema.
Como solução alternativa temporária, considere evitar o uso dos pacotes afetados @ckeditor/ckeditor5-markdown-gfm, @ckeditor/ckeditor5-html-support e @ckeditor/ckeditor5-html-embed até que a atualização seja aplicada.
Restrinja o acesso a configurações que permitam marcação insegura dentro do editor para os pacotes ckeditor5-html-support e ckeditor5-html-embed, a fim de minimizar o risco de exploração.
Evite inicializar o editor em elementos que não sejam <textarea> e evite destruir a instância do editor, a menos que seja necessário.

Exploit

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2022-31175
GHSA-42WQ-RCH8-6F6J

Produtos afetados

Ckeditor 5