p PatchFirst

CVE-2026-116687

CVE-2026-116687 · CKEditor: Cross-site scripting (XSS) in the engine package

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

CKEditor 5 is a modern JavaScript rich-text editor with an MVC architecture. From 29.0.0 until 47.7.4 and 48.5.1, specially crafted markup can trigger cross-site scripting when General HTML Support is enabled and specifically configured to allow object content. Processing that content can execute attacker-controlled JavaScript in a browser context isolated from the origin of the application embedding the editor. This issue is fixed in versions 47.7.4 and 48.5.1.

CVSS 3.1 · Baja · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • ckeditor5

    Versiones
    • >= 29.0.0, < 47.7.4: Afectada
    • >= 48.0.0, < 48.5.1: Afectada

    Sin corrección publicada

  • ckeditor5 npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 29.0.0, < 47.7.4

    Actualiza a 47.7.4

  • @ckeditor/ckeditor5-engine npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 29.0.0, < 47.7.4

    Actualiza a 47.7.4

  • ckeditor5 npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 48.0.0, < 48.5.1

    Actualiza a 48.5.1

  • @ckeditor/ckeditor5-engine npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 48.0.0, < 48.5.1

    Actualiza a 48.5.1

Fuentes originales

Comprueba tu servidor →