Code Snippet GeSHi 插件存在跨站点脚本 (XSS) 漏洞 (CVE-2024-43407)
CVE编号
CVE-2024-43407利用情况
暂无补丁情况
N/A披露时间
2024-08-21漏洞描述
CKEditor4是一个所见即所得的开源HTML编辑器。在CKEditor 4的代码片段GeSHi插件中发现了一个潜在的安全漏洞。该漏洞可以通过利用受害者主机上的GeSHi语法高亮库的缺陷来进行反射XSS攻击。GeSHi库作为供应商依赖项包含在CKEditor 4源代码文件中。在特定情况下，攻击者可以构建恶意脚本，通过向托管在PHP服务器上的GeSHi库发送请求来执行该脚本。由于GeSHi库不再主动维护，继续使用它可能会带来潜在的安全隐患。为了减少这些风险并增强CKEditor 4的整体安全性，我们已经决定完全删除GeSHi库作为依赖项。这一变更旨在维护安全环境，降低与过时或不受支持软件相关的任何安全事件的风险。此修复程序将在版本4.25.0-lts中可用。解决建议
"将组件 ckeditor4 升级至 4.25.0 及以上版本"- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论