جزئیات آسیب‌پذیری
CVE-2026-116688
ckeditor ckeditor5
CKEditor: Cross-site scripting (XSS) in the engine package
CVSS 3.1
8.1بالا
شرح رسمی (انگلیسی)
CKEditor 5 is a modern JavaScript rich-text editor with an MVC architecture. From 45.0.0 until 47.7.4 and 48.5.1, the engine uses a vulnerable es-toolkit version whose prototype-pollution behavior can be reached while CKEditor processes incoming style attribute values. Crafted editor content can thereby cause unauthorized JavaScript execution in the browser. This issue is fixed in versions 47.7.4 and 48.5.1.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.1بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| ckeditor | ckeditor5 | >= 45.0.0, < 47.7.4 | CVEProject cvelistV5 (CNA) |
| ckeditor | ckeditor5 | >= 48.0.0, < 48.5.1 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/ckeditor/ckeditor5/security/advisories/GHSA-rh54-vffm-5fvp x_refsource_CONFIRM
- https://github.com/ckeditor/ckeditor5/commit/4d9c5bb34f63cd956d15ccafbe584e14280c86a0 x_refsource_MISC
- https://github.com/ckeditor/ckeditor5/commit/a750e38635db6a18c5b11599c09f4fd702850423 x_refsource_MISC
- https://github.com/ckeditor/ckeditor5/releases/tag/v47.7.4 x_refsource_MISC
- https://github.com/ckeditor/ckeditor5/releases/tag/v48.5.1 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۵
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۱
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۹٪
احتمال بهره‌برداری در ۳۰ روز
۴۲٫۸٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-79Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')