В Drupal исправлена критическая уязвимость, связанная с работой CKEditor

Совсем недавно ИБ-специалисты и разработчики Drupal предупреждали, что преступники начали эксплуатировать выявленную недавно критическую уязвимость Drupalgeddon2 (CVE-2018-7600). Теперь для CMS вышел еще один внеочередной патч, уже адресованный другой критической проблеме, обнаруженной в составе CKEditor.

Уязвимость обнаружили сами разработчики Drupal. Проблема связана со сторонним плагином CKEditor, основанным на JavaScript редактором WYSIWYG HTML, который поставляется предустановленным, вместе с CMS.

Авторы CKEditor уже выпустили отчет о проблеме. Они рассказывают, что редактор был подвержен XSS-уязвимости (cross-site scripting) из-за некорректной валидации тега img в плагине Enhanced Image для CKEditor 4.5.11 и более поздних версий.

Используя баг, атакующие имели возможность выполнить произвольный HTML- и JavaScript-код в браузере жертвы и получить доступ к конфиденциальным данным, похитить данные сессии, осуществить фишинговую атаку и так далее.

Разработчики CKEditor уже выпустили исправленную версию плагина (4.9.2), кроме того, патч был опубликован и для самой CMS, — команда Drupal представила обновленные версии CMS (8.5.2 и 8.4.7). Сообщается, что CKEditor в составе Drupal 7.x проблеме не подвержен.