PT-2024-31604 · Ckeditor · Ckeditor Open Link Plugin

Phineas-Gage + 1 · Publicado 2024-09-05 · Atualizado 2024-09-19 · CVE-2024-45400

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas:

Versões do ckeditor-plugin-openlink anteriores à 1.0.7

Descrição:

Uma vulnerabilidade no plugin ckeditor-plugin-openlink para o editor de texto JavaScript CKEditor permitia que um usuário executasse código JavaScript ao explorar indevidamente o atributo href da tag link. Esse problema afeta versões anteriores à 1.0.7.

Recomendações:

Para versões anteriores à 1.0.7, atualize para a versão 1.0.7 ou posterior para resolver o problema. Como solução temporária, considere desativar o plug-in até que um patch esteja disponível. Restrinja o acesso ao atributo href do link para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-45400

GHSA-QJ47-6X6Q-M3C9

Produtos afetados

Ckeditor Open Link Plugin

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45400.json · Exploit
• https://github.com/mlewand/ckeditor-plugin-openlink/security/advisories/GHSA-qj47-6x6q-m3c9 · Aviso do Fabricante
• https://github.com/mlewand/ckeditor-plugin-openlink/commit/402391fdd4d9cfd079031372f9caebbf54993ffb · Correção
• https://twitter.com/VulmonFeeds/status/1831930767695310948 · Publicação no Twitter
• https://t.me/cvenotify/93540 · Publicação no Telegram
• https://t.me/cvenotify/93498 · Publicação no Telegram
• https://t.me/cvedetector/4944 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-45400 · Aviso do Fabricante
• https://t.me/cvenotify/95323 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1831839793418006778 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-45400 · Nota de Segurança