p PatchFirst

CVE-2026-116687

CVE-2026-116687 · CKEditor: Cross-site scripting (XSS) in the engine package

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

CKEditor 5 is a modern JavaScript rich-text editor with an MVC architecture. From 29.0.0 until 47.7.4 and 48.5.1, specially crafted markup can trigger cross-site scripting when General HTML Support is enabled and specifically configured to allow object content. Processing that content can execute attacker-controlled JavaScript in a browser context isolated from the origin of the application embedding the editor. This issue is fixed in versions 47.7.4 and 48.5.1.

CVSS 3.1 · Niedrig · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • ckeditor5

    Softwareversionen
    • >= 29.0.0, < 47.7.4: Betroffen
    • >= 48.0.0, < 48.5.1: Betroffen

    Keine Korrektur veröffentlicht

  • ckeditor5 npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 29.0.0, < 47.7.4

    Auf 47.7.4 aktualisieren

  • @ckeditor/ckeditor5-engine npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 29.0.0, < 47.7.4

    Auf 47.7.4 aktualisieren

  • ckeditor5 npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 48.0.0, < 48.5.1

    Auf 48.5.1 aktualisieren

  • @ckeditor/ckeditor5-engine npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 48.0.0, < 48.5.1

    Auf 48.5.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →