搜索

[28145] 2020-02-09_TINYMCE发现严重XSS漏洞

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-02-09_TINYMCE发现严重XSS漏洞 T I N Y M C E 发 现 ​ ​ 严 重 X S S 漏 洞 O t s 安 全   2 0 2 0 - 0 2 - 0 9 几 天 前 ， 一 位 数 字 取 证 研 究 人 员 报 告 发 现 了 一 个 跨 站 点 脚 本 （ X S S ） 漏 洞 ， 该 漏 洞 影 响 了 T i n y M C E 开 源 文 本 编 辑 器 中 的 三 个 插 件 。 该 漏 洞 被 认 为 是 至 关 重 要 的 ， 它 的 利 用 将 允 许 通 过 使 用 剪 贴 板 功 能 或 其 A P I 将 特 殊 设 计 的 命 令 插 入 文 本 编 辑 器 中 来 任 意 执 行 J a v a S c r i p t ， G i t H u b 上 发 布 的 错 误 报 告 提 到 。 数 字 取 证 专 家 指 出 ， T i n y M C E 与 J a v a S c r i p t 库 具 有 广 泛 的 兼 容 性 ， 并 且 易 于 集 成 到 内 容 管 理 系 统 （ C M S ） 中 ， 因 此 已 成 为 全 球 开 发 人 员 最 常 用 的 工 具 之 一 。 对 于 受 影 响 的 版 本 ， 除 T i n y M C E   5 . 1 . 3 或 更 低 版 本 外 ， T i n y M C E   4 . 9 . 6 或 更 低 版 本 还 可 能 遭 受 X S S 漏 洞 的 利 用 。 在 声 明 中 ， 开 发 人 员 提 到 该 问 题 与 在 上 载 到 编 辑 器 之 前 未 正 确 清 除 内 容 有 关 。 为 了 补 救 ， T i n y M C E   4 和 5 的 更 新 版 本 已 发 布 。   这 些 版 本 中 的 任 何 一 个 的 用 户 都 应 升 级 到 T i n y M C E   4 . 9 . 7 和 5 . 1 . 4 。 此 外 ， 还 提 到 了 受 影 响 的 插 件 是 分 析 器 ， 粘 贴 功 能 和 v i s u a l c h a r s 。 该 漏 洞 的 安 全 更 新 现 已 可 用 。 此 修 复 程 序 通 过 使 用 改 进 的 解 析 器 逻 辑 解 决 了 该 问 题 ， 除 了 包 含 H T M L 清 理 程 序 之 外 ， 还 包 括 T i n y M C E 报 告 中 找 到 的 完 整 技 术 细 节 。 报 告 此 漏 洞 的 数 字 取 证 专 家 还 透 露 了 一 种 解 决 方 法 ， 其 中 涉 及 禁 用 受 影 响 的 插 件 并 使 用 B e f o r e S e t C o n t e n t 事 件 手 动 清 除 内 容 。 根 据 国 际 网 络 安 全 研 究 所 （ I I C S ） 的 数 据 ， 每 天 都 有 数 百 万 的 S a n   T i n y M C E 用 户 ， 除 了 其 插 件 外 ， 还 支 持 全 球 几 乎 4 0 ％ 的 网 站 的 运 营 ， 因 此 找 到 解 决 方 案 对 于 解 决 这 一 问 题 至 关 重 要 。 威 胁 参 与 者 开 始 在 野 外 积 极 利 用 此 漏 洞 之 前 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理