PT-2024-22805 · Tinymce · Tinymce

Ekimchau · Publicado 2024-03-26 · Atualizado 2026-03-19 · CVE-2024-29203

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do TinyMCE anteriores à 6.8.1

Descrição

Foi descoberta uma vulnerabilidade de cross-site scripting (XSS) no código de inserção de conteúdo do TinyMCE. Isso permitia que elementos iframe contendo código malicioso fossem executados quando inseridos no editor. Esses elementos iframe têm suas permissões restringidas pelas proteções de origem idêntica do navegador, mas ainda assim podiam acionar operações como o download de recursos maliciosos.

Recomendações

Para versões anteriores à 6.8.1, atualize para a versão 6.8.1 ou posterior para corrigir a vulnerabilidade.

Como solução alternativa temporária, considere configurar o frame-src ou object-src da Política de Segurança de Conteúdo HTTP (CSP) para restringir ou bloquear o carregamento de URLs não autorizadas.

No TinyMCE 7.0.0 e versões posteriores, a opção sandbox iframes está habilitada por padrão, o que adiciona o atributo sandbox=“” a todos os elementos iframe. Para colocar em sandbox os elementos iframe de todos os domínios, defina a opção sandbox iframes exclusions como [].

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-29203

GHSA-438C-3975-5X3F

Produtos afetados

Tinymce

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/29xxx/CVE-2024-29203.json · Exploit
• https://github.com/tinymce/tinymce · Nota
• https://github.com/tinymce/tinymce/security/advisories/GHSA-438c-3975-5x3f · Aviso do Fabricante
• https://github.com/tinymce/tinymce/commit/bcdea2ad14e3c2cea40743fb48c63bba067ae6d1 · Correção
• https://osv.dev/vulnerability/CVE-2024-29203 · Aviso do Fabricante
• https://tiny.cloud/docs/tinymce/6/6.8.1-release-notes/#new-convert_unsafe_embeds-option-that-controls-whether-object-and-embed-elements-will-be-converted-to-more-restrictive-alternatives-namely-img-for-image-mime-types-video-for-video-mime-types-audio-audio-mime-types-or-iframe-for-other-or-unspecified-mime-types · Nota
• https://cve.org/CVERecord?id=CVE-2024-29203 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-438c-3975-5x3f · Aviso do Fabricante
• https://tiny.cloud/docs/tinymce/7/7.0-release-notes/#sandbox_iframes-editor-option-is-now-defaulted-to-true · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-29203 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-29203 · Nota de Segurança
• https://t.me/cveNotify/134077 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2024-29203 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1772618961575633064 · Publicação no Twitter
• https://t.me/cvenotify/74695 · Publicação no Telegram