Oracle PeopleSoft Enterprise PeopleTools 8.55/8.56/8.57 CKEditor 跨站脚本攻击

CVE编号

CVE-2018-17960

利用情况

暂无

补丁情况

官方补丁

披露时间

2018-11-15

漏洞描述

CKEditor（前称FCKeditor）是波兰CKSource公司的一套开源的、基于网页的文字编辑器。该编辑器具有轻量化、易于安装等特点。 CKEditor 4.11.0之前的4.x版本中存在跨站脚本漏洞。远程攻击者可通过诱使用户将特制的HTML代码复制到被打开的CKEditor源区域、诱使用户切换到WYSIWYG模式或诱使用户执行其他操作利用该漏洞注入任意的Web脚本或HMTL。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
http://www.securityfocus.com/bid/109205
https://ckeditor.com/blog/CKEditor-4.11-with-emoji-dropdown-and-auto-link-on-...
https://ckeditor.com/cke4/release/CKEditor-4.11.0
https://www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	ckeditor	ckeditor	*	From (including) 4.0	Up to (excluding) 4.11.0
	运行在以下环境
	系统	debian_9	ckeditor	*		Up to (excluding) 4.5.7+dfsg-2
	运行在以下环境
	系统	fedora_28	ckeditor	*		Up to (excluding) 4.11.2-1.fc28
	运行在以下环境
	系统	fedora_29	ckeditor	*		Up to (excluding) 4.11.2-1.fc29
	运行在以下环境
	系统	fedora_EPEL_6	ckeditor	*		Up to (excluding) 4.11.2-2.el6
	运行在以下环境
	系统	fedora_EPEL_7	ckeditor	*		Up to (excluding) 4.11.2-2.el7
查看完整数据

阿里云评分 4.9

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 越权影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-79 在Web页面生成时对输入的转义处理不恰当（跨站脚本）