Magento LTS vulnerable to Stored XSS via TinyMCE WYSIWYG Editor
From HackerOne report #1948040 by Halit AKAYDIN (hltakydn)
Impact
What kind of vulnerability is it? Who is impacted?
The TinyMCE WYSIWYG editor fails to filter scripts when rendering the HTML in specially crafted HTML tags.
Patches
Has the problem been patched? What versions should users upgrade to?
This vulnerability was fixed in version 20.2.0 by upgrading TinyMCE to a recent version in https://github.com/OpenMage/magento-lts/pull/3220
Workarounds
Is there a way for users to fix or remediate the vulnerability without upgrading?
The WYSIWYG editor features could be disabled in the configuration. Possibly some WAF appliances would filter this attack.
References
Are there any links users can visit to find out more?
The attack is simply an exploit of the "onmouseover" attribute of an img element as described on OWASP XSS Filter Evasion
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Composer-Paket | openmage/magento-lts | < 20.2.0 | 20.2.0 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:L- Schwäche (CWE)
CWE-79- Plattform
- Composer
- Paket
openmage/magento-lts- Veröffentlicht
- 08.12.2023
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-9j5w-2cqc-cwj9 - CC BY 4.0
Schwachstellenhistorie: openmage/magento-lts
Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 26
- Erste → letzte
- 08.2020 05.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 3
- Hoch 12
- Mittel 10
- Niedrig 1
Veröffentlichungen pro Jahr
- 2020: 2
- 2021: 4
- 2022: 0
- 2023: 8
- 2024: 2
- 2025: 2
- 2026: 8
-
Magento LTS vulnerable to Stored XSS via TinyMCE WYSIWYG Editor dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.