CKEditor: برمجة مواقع عبر النطاق (XSS) في حزمة المحرك

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

CKEditor 5 هو محرر نص غني حديث بلغة JavaScript ذو هيكلية MVC. من الإصدار 45.0.0 حتى 47.7.4 و48.5.1، يستخدم المحرك إصداراً ضعيفاً من es-toolkit يمكن الوصول إلى سلوك تللوث النموذج الأولي (prototype-pollution) فيه أثناء معالجة CKEditor لقيم سمات النمط الواردة. يمكن لمحتوى المحرر المُصمّم خصيصاً التسبب في تنفيذ شيفرة JavaScript غير مصرح بها في المتصفح. تم إصلاح هذه الثغرة في الإصدارين 47.7.4 و48.5.1.

المعالجة

1. أحصِ جميع نشرات ckeditor ckeditor5، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• مرجعhttps://github.com/ckeditor/ckeditor5/security/advisories/GHSA-rh54-vffm-5fvp
• مرجعhttps://github.com/ckeditor/ckeditor5/commit/4d9c5bb34f63cd956d15ccafbe584e14280c86a0
• مرجعhttps://github.com/ckeditor/ckeditor5/commit/a750e38635db6a18c5b11599c09f4fd702850423
• مرجعhttps://github.com/ckeditor/ckeditor5/releases/tag/v47.7.4
• مرجعhttps://github.com/ckeditor/ckeditor5/releases/tag/v48.5.1