Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79

CVE-2026-116687

CKEditor 5 engine paketinde siteler arası betik çalıştırma (XSS) açığı

ckeditor5

Düşük 3,1 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, web sitelerine eklenen bir metin editöründe bulunuyor ve kötü niyetli içerikle tetiklenebiliyor. Risk düşük seviyededir, ancak yalnızca belirli bir yapılandırma kullanılan sistemleri etkiler. Yazılım ekibinin güncellemeyi planlı şekilde uygulaması yeterli olabilir.

ÖzetTürkçe

CKEditor 5 zengin metin editöründeki engine paketinde, özel hazırlanmış işaretleme ile siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Açık, General HTML Support özelliği etkinleştirilmiş ve nesne içeriğine izin verecek şekilde özel olarak yapılandırılmış sürümlerde ortaya çıkar. Etkilenen sürümler 29.0.0 ile 47.7.4 (ve 48.5.1 öncesi) arasındadır.

Saldırgan ne yapabilir?

Saldırgan, editörü barındıran uygulamanın kaynağından izole edilmiş bir tarayıcı bağlamında kendi JavaScript kodunu çalıştırabilir. Bu, uygulamanın gizliliğini ve bütünlüğünü sınırlı ölçüde etkileyebilir.

Kaynaktaki açıklama (İngilizce)

CKEditor 5 is a modern JavaScript rich-text editor with an MVC architecture. From 29.0.0 until 47.7.4 and 48.5.1, specially crafted markup can trigger cross-site scripting when General HTML Support is enabled and specifically configured to allow object content. Processing that content can execute attacker-controlled JavaScript in a browser context isolated from the origin of the application embedding the editor. This issue is fixed in versions 47.7.4 and 48.5.1.

Ne yapmalı?

  1. CKEditor 5 paketini 47.7.4 veya 48.5.1 sürümüne (hangi dal kullanılıyorsa o dalın düzeltilmiş sürümüne) yükseltin. Genel öneri
  2. General HTML Support özelliğinin nesne içeriğine izin verecek şekilde yapılandırılıp yapılandırılmadığını kontrol edin ve bu yapılandırma gerekli değilse kaldırın. Genel öneri
  3. Güncelleme sonrasında editörün kullanıldığı sayfaları test ederek beklenmeyen betik davranışı olup olmadığını doğrulayın. Genel öneri

Ek önlemler

  • Editör çıktısını sunmadan önce içerik güvenlik politikası (CSP) gibi ek tarayıcı tabanlı koruma katmanlarını değerlendirin. Genel öneri
  • Kullanıcıdan gelen HTML içeriğini kabul eden alanlar için girdi doğrulama ve temizleme (sanitization) kurallarını gözden geçirin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
ckeditor5 Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.