PT-2025-7555 · Unknown · Ckeditor 5

Mgsy · Publicado 2025-02-20 · Atualizado 2025-03-03 · CVE-2025-25299

Positive Technologies (AI Summary) · Pt

CVSS v4.0

2.3

Baixa

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do CKEditor 5 anteriores à 44.2.1

Descrição Uma vulnerabilidade de Cross-Site Scripting (XSS) foi descoberta no pacote de colaboração em tempo real do CKEditor 5, afetando marcadores de usuário que representam as posições dos usuários dentro do documento. Isso pode levar à execução não autorizada de código JavaScript com uma configuração muito específica de editor e endpoint de token. A vulnerabilidade afeta apenas instalações com a edição colaborativa em tempo real ativada.

Recomendações Para versões anteriores à 44.2.1, atualize para a versão 44.2.1 ou posterior para resolver o problema. Como solução temporária, considere desativar o recurso de edição colaborativa em tempo real até que a atualização seja aplicada. Restrinja o acesso aos marcadores de usuário vulneráveis para minimizar o risco de exploração. Evite usar configurações específicas de endpoint que possam desencadear a vulnerabilidade até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-80

CWE-79

Identificadores relacionados

CVE-2025-25299

GHSA-J3MM-WMFM-MWVH

Produtos afetados

Ckeditor 5

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/25xxx/CVE-2025-25299.json · Exploit
• https://github.com/ckeditor/ckeditor5 · Nota
• https://github.com/ckeditor/ckeditor5/releases/tag/v44.2.1 · Nota
• https://github.com/ckeditor/ckeditor5/security/advisories/GHSA-j3mm-wmfm-mwvh · Nota
• https://security-tracker.debian.org/tracker/CVE-2025-25299 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2025-25299 · Nota de Segurança
• https://twitter.com/WolfgangSesin/status/1892690089139933445 · Publicação no Twitter
• https://ckeditor.com/docs/ckeditor5/latest/features/collaboration/real-time-collaboration/real-time-collaboration.html?docId=ee1dca024c9b4e44aef039f99ebe6c664 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-25299 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j3mm-wmfm-mwvh · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-25299 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2025-25299 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1892659716288925890 · Publicação no Twitter
• https://t.me/cvedetector/18602 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-25299 · Nota de Segurança