Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79

CVE-2026-116688

CKEditor 5 engine paketinde siteler arası betik çalıştırma (XSS) açığı

ckeditor5

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

CKEditor, birçok web sitesi ve uygulamada kullanıcıların içerik yazmasını sağlayan bir araçtır. Bu açık, kötü niyetli bir içeriğin kullanıcıların tarayıcısında kontrolsüz kod çalıştırmasına olanak tanıyabilir. Etkilenen sistemlerin hızlı şekilde güncellenmesi önerilir.

ÖzetTürkçe

CKEditor 5 zengin metin editörünün engine paketinde, kullanılan es-toolkit bağımlılığındaki prototip kirletme (prototype pollution) davranışı nedeniyle XSS açığı bulunmaktadır. Bu açık, 45.0.0 ile 47.7.4 ve 48.5.1 öncesi sürümleri etkiler. Editör, gelen style özniteliği değerlerini işlerken bu davranışa ulaşılabilmektedir.

Saldırgan ne yapabilir?

Saldırgan, özel hazırlanmış editör içeriği aracılığıyla tarayıcıda yetkisiz JavaScript çalıştırabilir. Bu, oturum bilgilerinin çalınmasına veya kullanıcı adına işlem yapılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

CKEditor 5 is a modern JavaScript rich-text editor with an MVC architecture. From 45.0.0 until 47.7.4 and 48.5.1, the engine uses a vulnerable es-toolkit version whose prototype-pollution behavior can be reached while CKEditor processes incoming style attribute values. Crafted editor content can thereby cause unauthorized JavaScript execution in the browser. This issue is fixed in versions 47.7.4 and 48.5.1.

Ne yapmalı?

  1. CKEditor 5 paketini 47.7.4 veya 48.5.1 sürümüne yükseltin (hangi dal kullanılıyorsa ona uygun sürüm). Genel öneri
  2. Güncellemeden sonra uygulamayı yeniden derleyip dağıtın ve tarayıcı önbelleğini temizletin. Genel öneri
  3. Güncelleme yapılana kadar editör çıktısının, kullanıcı tarafından girilen style özniteliklerini içerip içermediğini gözden geçirin ve bu içeriği güvenilmeyen olarak ele alın. Genel öneri

Ek önlemler

  • Editör içeriğini görüntülemeden önce sunucu tarafında ve istemci tarafında HTML temizleme (sanitization) uygulayın. Genel öneri
  • Content Security Policy (CSP) ile satır içi betik çalıştırmayı kısıtlayarak XSS etkisini azaltın. Genel öneri
  • Bağımlılık yönetim araçlarıyla es-toolkit gibi alt bağımlılıkların sürümlerini düzenli olarak izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
ckeditor5 Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.