Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-04887

Опубликовано: 09 июн. 2021
Источник: fstec
CVSS3: 6.1
CVSS2: 5.8
EPSS Низкий

Описание

Уязвимость WYSIWYG-редактора CKEditor связана с неправильной обработкой комментария «--!>». Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Вендор

Сообщество свободного программного обеспечения
The CKEditor Team

Наименование ПО

Debian GNU/Linux
CKEditor

Версия ПО

9 (Debian GNU/Linux)
8.0 (Debian GNU/Linux)
10 (Debian GNU/Linux)
от 4.14.0 до 4.16.1 (CKEditor)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
Сообщество свободного программного обеспечения Debian GNU/Linux 10

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Для Ckeditor:
Использование рекомендаций производителя: https://ckeditor.com/blog/ckeditor-4.16.1-with-accessibility-enhancements/#improvements-for-comments-in-html-parser
Для Debian:
Использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-33829

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 74%
0.00881
Низкий

6.1 Medium

CVSS3

5.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.1
ubuntu
около 4 лет назад

A cross-site scripting (XSS) vulnerability in the HTML Data Processor in CKEditor 4 4.14.0 through 4.16.x before 4.16.1 allows remote attackers to inject executable JavaScript code through a crafted comment because --!> is mishandled.

CVSS3: 6.1
nvd
около 4 лет назад

A cross-site scripting (XSS) vulnerability in the HTML Data Processor in CKEditor 4 4.14.0 through 4.16.x before 4.16.1 allows remote attackers to inject executable JavaScript code through a crafted comment because --!> is mishandled.

CVSS3: 6.1
debian
около 4 лет назад

A cross-site scripting (XSS) vulnerability in the HTML Data Processor ...

CVSS3: 6.1
github
около 4 лет назад

ckeditor4 vulnerable to cross-site scripting

EPSS

Процентиль: 74%
0.00881
Низкий

6.1 Medium

CVSS3

5.8 Medium

CVSS2