Vulnérabilité dans jodit (CVE-2026-65841)
Résumé
Vulnérabilité dans jodit (CVE-2026-65841). Risque d'opérations non autorisées ou de divulgation. Exploitable via node.nodeName. Atténuation : mise à jour vers 4.13.6 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
A element placed directly inside an (or MathML) container was not removed by Jodit's clean-html sanitizer.
The deny/allow tag filter compared node.nodeName against an upper-cased tag hash, but foreign (SVG/MathML) elements preserve their original-case node names — an SVG script reports "script", not "SCRIPT" — so the default denyTags list (which includes script) did not match it. The script therefore survived in the editor value and serialized output, where it could execute when the content was loaded back into a page or editor.
Proof of concept
alert(document.domain);
Load the payload into the editor (e.g. via source mode) and the `` is preserved in editor.value and executes.
Impact
Stored / DOM cross-site scripting. An application that persists editor output and later renders or re-opens it in Jodit can have attacker-supplied script run in a victim's (e.g. an administrator's) authenticated browser context.
Patch
Fixed in 4.13.6: the deny/allow lookup now normalises the tag name to upper case before matching, so a foreign namespace can no longer bypass the filter, while allowTags is still honoured.
Workaround
Upgrade to 4.13.6 or later. Server-side sanitization of stored HTML mitigates in the interim.
Credit
Reported by Roman Kis (@CrownKingClown).
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-65841 a été découverte dans jodit.
Des attaquants peuvent cibler un point d'entrée spécifique comme node.nodeName à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour jodit vers 4.13.6 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « jodit CVE-2026-65841 » sur le site de l'éditeur.
CVE-2026-65841 (jodit) — CWE-80
Surface d'attaque : node.nodeName / denyTags / script / editor.value
Correctif : 4.13.6 — appliquer immédiatement
Contournement : Upgrade to 4.13.6 or later.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-80) affecte jodit. Les attaquants atteignent le code vulnérable via node.nodeName.
Consultez l'avis de l'éditeur pour les versions affectées de jodit. Surface d'attaque : node.nodeName / denyTags / script / editor.value.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 4.13.6.
Contournement : Upgrade to 4.13.6 or later.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'jodit' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
joditを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Upgrade to 4.13.6 or later.パッチが適用されるまでの応急処置として、Upgrade to 4.13.6 or later. を実施。回避策の副作用 (機能低下) を確認した上で。
-
3Apply patch patch
Upgrade jodit to 4.13.6ステージング環境で 4.13.6 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com