Advanced Content Filter (ACF) vulnerability allowing to exec… (CVE-2021-41164, CVSS 8.2)

Résumé

Advanced Content Filter (ACF) vulnerability allowing to execute JavaScript code using malformed HTML

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Affected packages

The vulnerability has been discovered in the Advanced Content Filter (ACF) module and may affect all plugins used by CKEditor 4.

Impact

A potential vulnerability has been discovered in CKEditor 4 Advanced Content Filter (ACF) core module. The vulnerability allowed to inject malformed HTML bypassing content sanitization, which could result in executing JavaScript code. It affects all users using the CKEditor 4 at version < 4.17.0.

Patches

The problem has been recognized and patched. The fix will be available in version 4.17.0.

For more information

Email us at security@cksource.com if you have any questions or comments about this advisory.

Acknowledgements

The CKEditor 4 team would like to thank Maurice Dauer (laytonctf) for recognizing and reporting this vulnerability.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2021-41164 a été découverte dans ckeditor.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.2/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « ckeditor CVE-2021-41164 » sur le site de l'éditeur.

CVE-2021-41164 (ckeditor) — CWE-79 / CVSS v3 8.2
Vecteur d'attaque : distant (réseau)
Versions affectées : < 4.17.0
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

CKEditor4のACFモジュールにおける不正なHTML注入の脆弱性。

📍 Périmètre concerné

CKEditor4のバージョン4.17.0未満のすべてのユーザー。

🔥 Gravité

この脆弱性により、不正なHTMLを通じてJavaScriptコードが実行される可能性があるため、非常に重要です。

🔧 Comment corriger

バージョン4.17.0にアップデートしてください。

🛡️ Contournement

情報なし

🔍 Détection

CKEditor4のバージョン番号を確認して、4.17.0未満である場合は影響を受けている可能性があります。

Paquets affectés

npm ckeditor4

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"4.17.0"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Ubuntu UBUNTU-CVE-2021-41164 ckeditor