遠端 Web 主機上隨附的 CKEditor 版本為低於 4.24.0-lts 的 4.x 版。因此可能受到多個跨網站指令碼 (XSS) 弱點的影響。

 - 存在一個跨網站指令碼弱點，此弱點會影響啟用完整頁面編輯模式或在 Advanced Content Filtering 組態中啟用 CDATA 元素的編輯器執行個體 (預設為 `script` 和 `style` 元素)。攻擊者可利用此弱點注入格式錯誤的 HTML 內容，以此來繞過 Advanced Content Filtering 機制，進而可能導致執行 JavaScript 程式碼。攻擊者可濫用錯誤的 CDATA 內容偵測，並使用它來籌備對編輯器的有意攻擊。(CVE-2024-24815)

 - 使用 `preview` 功能的範例中存在一個跨網站指令碼弱點。在生產程式碼中使用這些範例的所有整合商都會受到影響。攻擊者可利用此弱點濫用錯誤設定的預覽功能，藉此執行 JavaScript 程式碼。(CVE-2024-24816)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

CKEditor 4.x < 4.24.0-lts 多個 XSS 弱點

medium Nessus Plugin ID 190347

版本 1.3