Cross-Site Scripting in @ckeditor/ckeditor5-link

TRUNG BÌNH 6.1CVE-2018-11093 · GHSA-gvpx-9459-w3mj · Công bố 22/05/2018 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2018-11093 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng ckeditor 5-link (ckeditor), @ckeditor/ckeditor5-link.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.00%, cao hơn 62.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 10.0.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
ckeditor 5-link ckeditor	`< 10.0.1`	`10.0.1`
@ckeditor/ckeditor5-link npm	`≥ 0.3.0, < 10.0.1`	`10.0.1`

Mô tả

Versions of status-board prior to 10.0.1 are vulnerable to Cross-Site Scripting. The _createPreviewButton() function fails to sanitize the href attribute of a created <a> tag. This may allow attackers to execute arbitrary JavaScript in a victim's browser.

Recommendation

Upgrade to version 10.0.1 or later.

Mô tả của NVD

Cross-site scripting (XSS) vulnerability in the Link package for CKEditor 5 before 10.0.1 allows remote attackers to inject arbitrary web script through a crafted href attribute of a link (A) element.