Drupal core - SA-CORE-2022-005
The Drupal project uses the CKEditor library for WYSIWYG editing. CKEditor has released a security update that impacts Drupal.
Vulnerabilities are possible if Drupal is configured to allow use of the CKEditor library for WYSIWYG editing. An attacker that can create or edit content (even without access to CKEditor themselves) may be able to exploit one or more Cross-Site Scripting (XSS) vulnerabilities to target users with access to the WYSIWYG CKEditor, including site admins with privileged access.
For more information, see CKEditor's security advisories:
- CVE-2022-24728: HTML processing vulnerability allowing to execute JavaScript code
- CVE-2022-24729: Regular expression Denial of Service in dialog plugin
This advisory is not covered by Drupal Steward.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | drupal/core | >= 8.0.0, < 9.2.15, >= 9.3.0, < 9.3.8 | 9.2.15, 9.3.8 |
| Drupal (rdzeń) | drupal/core | >= 8.0.0, < 9.2.15, >= 9.3.0, < 9.3.8 | 9.2.15, 9.3.8 |
| Paczka npm | ckeditor4 | < 4.18.0 | 4.18.0 |
Odnośniki
- https://github.com/ckeditor/ckeditor4/security/advisories/GHSA-4fc4-4p5g-6w89
- https://nvd.nist.gov/vuln/detail/CVE-2022-24728
- https://github.com/ckeditor/ckeditor4/commit/d158413449692d920a778503502dcb22881bc949
- https://ckeditor.com/cke4/release/CKEditor-4.18.0
- https://github.com/ckeditor/ckeditor4
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/VR76VBN5GW5QUBJFHVXRX36UZ6YTCMW6
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WOZGMCYDB2OKKULFXZKM6V7JJW4ZZHJP
- https://securitylab.github.com/advisories/GHSL-2022-009_ckeditor4
- https://www.drupal.org/sa-core-2022-005
- https://www.oracle.com/security-alerts/cpujul2022.html
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N- Słabość (CWE)
CWE-79- Platforma
- Composer, Drupal, npm
- Paczka
drupal/core, ckeditor4- Ujawniono
- 16.03.2022
- Aktualizacja
- 11.10.2026 13:17
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-4fc4-4p5g-6w89 - CC BY 4.0
OSV / GitHub Advisory Database - DRUPAL-CORE-2022-005 - CC BY-SA 2.0; code GPL-2.0-or-later
Historia podatności: ckeditor4
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 15
- Pierwsza → ostatnia
- 05.2021 08.2024
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 4
- Średnia 11
Ujawnienia w latach
- 2021: 8
- 2022: 2
- 2023: 0
- 2024: 5
- 2025: 0
- 2026: 0
-
Drupal core - SA-CORE-2022-005 ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.