p PatchFirst

CVE-2026-65841

CVE-2026-65841 · Jodit has cross-site scripting (XSS) via <script> nested in SVG that bypasses clean-html sanitization

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Jodit Editor is a WYSIWYG editor with a built-in file browser & image editor. Prior to 4.13.6, Jodit's clean-html denyTags filter does not normalize foreign SVG or MathML script node names, allowing a script element nested directly in SVG or MathML to remain in editor.value and execute when content is loaded. This issue is fixed in version 4.13.6.

CVSS 5.3 · Moyenne · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • jodit

    Versions du logiciel
    • < 4.13.6: Concernée

    Aucun correctif publié

  • jodit npm

    Plages de versions concernées
    • SEMVER: < 4.13.6

    Mettez à jour vers 4.13.6

Sources originales

Vérifiez votre serveur →