Vulnerabilidad en CKEditor4 (CVE-2024-24816)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

07/02/2024

Última modificación:

15/02/2024

Descripción

CKEditor4 es un editor HTML de código abierto de lo que ves es lo que obtienes. Se descubrió una vulnerabilidad de cross-site scripting en versiones anteriores a la 4.24.0-lts en muestras que utilizan la función "vista previa". Todos los integradores que utilicen estos ejemplos en el código de producción pueden verse afectados. La vulnerabilidad permite a un atacante ejecutar código JavaScript abusando de la función de vista previa mal configurada. Afecta a todos los usuarios que utilizan CKEditor 4 en la versión &lt;4.24.0-lts con muestras afectadas utilizadas en un entorno de producción. Hay una solución disponible en la versión 4.24.0-lts.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno