Уязвимость CVE-2023-28439 - Документация Инкоманд

CKEditor4 - это HTML-редактор типа "что видишь, то и получаешь" с открытым исходным кодом.

Обнаружена уязвимость межсайтового скриптинга, влияющая на пакеты Iframe Dialog и Media Embed. Уязвимость может запускать код JavaScript после выполнения особых условий: использования одного из затронутых пакетов на веб-странице с отсутствующей надлежащей настройкой политики безопасности содержимого; инициализации редактора на элементе и использования элемента, отличного от <textarea>, в качестве базового; и уничтожения экземпляра редактора. Эта уязвимость может затронуть небольшой процент интеграторов, которые зависят от механизма инициализации / уничтожения динамического редактора.

Исправление доступно в CKEditor4 версии 4.21.0. В некоторых редких случаях исправление системы безопасности может считаться критическим изменением.

Начиная с версии 4.21.0, плагин Iframe Dialog по умолчанию применяет атрибут sandbox, который ограничивает выполнение кода JavaScript в элементе iframe. Чтобы изменить это поведение, настройте параметр config.iframe_attributes.

Также, начиная с версии 4.21.0, плагин Media Embedded по умолчанию восстанавливает все содержимое виджета embedded.Чтобы изменить это поведение, настройте параметр config.embedd_keeporiginalcontent.

Те, кто решил включить любой из более разрешительных параметров или кто не может перейти на исправленную версию, должны надлежащим образом настроить Политику безопасности контента, чтобы избежать любых потенциальных проблем безопасности, которые могут возникнуть при внедрении элементов iframe на их веб-страницу.

Данная уязвимость устранена в релизе Инкоманд 7.3.3.0.