p PatchFirst

CVE-2026-116687

CVE-2026-116687 · CKEditor: Cross-site scripting (XSS) in the engine package

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

CKEditor 5 is a modern JavaScript rich-text editor with an MVC architecture. From 29.0.0 until 47.7.4 and 48.5.1, specially crafted markup can trigger cross-site scripting when General HTML Support is enabled and specifically configured to allow object content. Processing that content can execute attacker-controlled JavaScript in a browser context isolated from the origin of the application embedding the editor. This issue is fixed in versions 47.7.4 and 48.5.1.

CVSS 3.1 · Faible · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • ckeditor5

    Versions du logiciel
    • >= 29.0.0, < 47.7.4: Concernée
    • >= 48.0.0, < 48.5.1: Concernée

    Aucun correctif publié

  • ckeditor5 npm

    Plages de versions concernées
    • SEMVER: ≥ 29.0.0, < 47.7.4

    Mettez à jour vers 47.7.4

  • @ckeditor/ckeditor5-engine npm

    Plages de versions concernées
    • SEMVER: ≥ 29.0.0, < 47.7.4

    Mettez à jour vers 47.7.4

  • ckeditor5 npm

    Plages de versions concernées
    • SEMVER: ≥ 48.0.0, < 48.5.1

    Mettez à jour vers 48.5.1

  • @ckeditor/ckeditor5-engine npm

    Plages de versions concernées
    • SEMVER: ≥ 48.0.0, < 48.5.1

    Mettez à jour vers 48.5.1

Sources originales

Vérifiez votre serveur →