FaibleCVE-2026-116687
CKEditor : Script inter-site (XSS) dans le package du moteur
Peu de conséquences ou très difficile à exploiter.
- Sévérité
- Faible3.1 / 10
- Publiée le
- 27 octobre 2026
- Mise à jour
- 27 octobre 2026
L'avis
Traduction automatique de l'avis officiel. En cas de doute, l'avis d'origine, plus bas, fait foi.
Impact
Une vulnérabilité de type Script inter-site (XSS) a été découverte dans le moteur CKEditor 5. Cette vulnérabilité peut être déclenchée en insérant un balisage spécialement conçu sous une configuration spécifique du General HTML Support qui permet l'insertion d'objets, ce qui entraîne l'exécution de code JavaScript non autorisé dans un contexte navigateur isolé de l'origine de l'application hébergeant l'éditeur.
Cette vulnérabilité affecte uniquement les installations où le General HTML Support est activé et configuré pour permettre le contenu HTML affecté.
Patches
Le problème a été reconnu et corrigé. La correction sera disponible dans la version 48.5.1 (et supérieures) et 47.7.4 (LTS).
Pour plus d'informations
Nous contacter par e‑mail à security@cksource.com si vous avez des questions ou des commentaires concernant cette notice.
Composants touchés
| Composant | Versions touchées | Corrigé en |
|---|---|---|
| ckeditor5JavaScript (npm) | >= 29.0.0, < 47.7.4 | 47.7.4 |
| @ckeditor/ckeditor5-engineJavaScript (npm) | >= 29.0.0, < 47.7.4 | 47.7.4 |
| ckeditor5JavaScript (npm) | >= 48.0.0, < 48.5.1 | 48.5.1 |
| @ckeditor/ckeditor5-engineJavaScript (npm) | >= 48.0.0, < 48.5.1 | 48.5.1 |
Vous utilisez une version touchée ? Passez à la version corrigée, puis redéployez.