ÉlevéeCVE-2026-116688
CKEditor : Script inter-site (XSS) dans le package du moteur
Conséquences sérieuses, souvent sous quelques conditions : à corriger rapidement.
- Sévérité
- Élevée8.1 / 10
- Publiée le
- 27 octobre 2026
- Mise à jour
- 27 octobre 2026
L'avis
Traduction automatique de l'avis officiel. En cas de doute, l'avis d'origine, plus bas, fait foi.
Impact
Une vulnérabilité de type Script inter-site (XSS) a été découverte dans le moteur CKEditor 5. Cette vulnérabilité est causée par un problème de pollution de prototype dans la bibliothèque es-toolkit utilisée dans la base de code de CKEditor 5. Cette vulnérabilité pourrait entraîner l'exécution non autorisée de code JavaScript lorsque l'éditeur traite les valeurs d'attribut style entrantes.
Le problème sous-jacent a été corrigé par les maintainers de la bibliothèque, et la correction a été intégrée dans CKEditor 5.
Patches
Le problème a été reconnu et corrigé. La correction sera disponible dans la version 48.5.1 (et supérieures) et 47.7.4 (LTS).
For more information
Envoyez-nous un e-mail à security@cksource.com si vous avez des questions ou des commentaires concernant cet avis.
Composants touchés
| Composant | Versions touchées | Corrigé en |
|---|---|---|
| ckeditor5JavaScript (npm) | >= 45.0.0, < 47.7.4 | 47.7.4 |
| @ckeditor/ckeditor5-engineJavaScript (npm) | >= 45.0.0, < 47.7.4 | 47.7.4 |
| ckeditor5JavaScript (npm) | >= 48.0.0, < 48.5.1 | 48.5.1 |
| @ckeditor/ckeditor5-engineJavaScript (npm) | >= 48.0.0, < 48.5.1 | 48.5.1 |
Vous utilisez une version touchée ? Passez à la version corrigée, puis redéployez.