BDU:2022-02396

Опубликовано: 26 янв. 2021

Источник: fstec

CVSS3: 6.5

CVSS2: 7.1

EPSS Низкий

Описание

Уязвимость плагина Autolink WYSIWYG-редактора CKEditor связана с включением функций из недостоверной контролируемой области. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

Oracle Corp.

The CKEditor Team

Наименование ПО

Debian GNU/Linux

WebCenter Sites

Financial Services Analytical Applications Infrastructure

Oracle Agile PLM

Oracle Commerce Merchandising

Database Server

Oracle Financial Services Model Management and Governance

JD Edwards EnterpriseOne Tools

Siebel UI Framework

CKEditor

Версия ПО

9 (Debian GNU/Linux)

12.2.1.3.0 (WebCenter Sites)

10 (Debian GNU/Linux)

от 8.0.6 до 8.0.9 включительно (Financial Services Analytical Applications Infrastructure)

9.3.5 (Oracle Agile PLM)

9.3.6 (Oracle Agile PLM)

12.2.1.4.0 (WebCenter Sites)

11.1.0 (Oracle Commerce Merchandising)

11.2.0 (Oracle Commerce Merchandising)

11.3.0 (Oracle Commerce Merchandising)

11.3.1 (Oracle Commerce Merchandising)

11.3.2 (Oracle Commerce Merchandising)

11 (Debian GNU/Linux)

до 21.1.0 (Database Server)

от 8.0.8.0.0 до 8.1.0.0.0 включительно (Oracle Financial Services Model Management and Governance)

до 9.2.6.0 (JD Edwards EnterpriseOne Tools)

до 21.9 включительно (Siebel UI Framework)

от 4.0 до 4.16 (CKEditor)

8.1.0 (Financial Services Analytical Applications Infrastructure)

8.1.1 (Financial Services Analytical Applications Infrastructure)

Тип ПО

Операционная система

Программное средство защиты

Прикладное ПО информационных систем

СУБД

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:https://ckeditor.com/blog/CKEditor-4.16-with-improved-image-pasting-High-Contrast-support-and-a-new-color-API/#security-comes-first

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2021-26272

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpuoct2021.html

https://www.oracle.com/security-alerts/cpujul2021.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-26272
CVE

EPSS

Процентиль: 42%

0.00203

Низкий

6.5 Medium

CVSS3

7.1 High

CVSS2

Связанные уязвимости

CVE-2021-26272

CVSS3: 6.5

ubuntu

около 5 лет назад

It was possible to execute a ReDoS-type attack inside CKEditor 4 before 4.16 by persuading a victim to paste crafted URL-like text into the editor, and then press Enter or Space (in the Autolink plugin).

CVE-2021-26272

CVSS3: 6.5

nvd

около 5 лет назад

CVE-2021-26272

CVSS3: 6.5

debian

около 5 лет назад

It was possible to execute a ReDoS-type attack inside CKEditor 4 befor ...

GHSA-wpvm-wqr4-p7cw

CVSS3: 6.5

github

больше 4 лет назад

Inclusion of Functionality from Untrusted Control Sphere in CKEditor 4

EPSS

Процентиль: 42%

0.00203

Низкий

6.5 Medium

CVSS3

7.1 High

CVSS2