CKEditor 4.x < 4.24.0-lts 多个 XSS

medium Nessus 插件 ID 190347

语言：

简介

远程 Web 服务器可能受到多个跨站脚本漏洞的影响。

描述

远程 Web 主机上包含的 CKEditor 版本为低于 4.24.0-lts 的 4.x。因此，该应用程序可能受到多个跨站脚本 (XSS) 漏洞的影响。

- 存在跨站脚本漏洞，可影响在高级内容过滤配置中启用整页编辑模式或启用 CDATA 元素（默认为 `script` 和 `style` 元素）的编辑器实例。攻击者可利用此漏洞注入畸形 HTML 内容以绕过高级内容过滤机制，从而导致执行 JavaScript 代码。攻击者可滥用有错误的 CDATA 内容检测，并利用其准备对编辑器发动恶意攻击。(CVE-2024-24815)

- 使用 `preview` 功能的示例中存在跨站脚本漏洞。在生产代码中使用这些示例的所有集成商都会受到影响。攻击者可利用此漏洞，通过滥用错误配置的预览功能执行 JavaScript 代码。(CVE-2024-24816)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。