CKEditor编辑库漏洞曝光，允许未经身份验证的黑客进行XSS攻击
发布时间：2020-03-26 02:47:47 所属栏目：资源 来源：站长网
导读：据外媒报道，Drupal内容管理系统研究人员近日披露，CKEditor开源WYSIWYG编辑器存在严重 漏洞 ，该漏洞允许未经身份验证的 黑客 访问任意跨站点脚本，并进行XSS攻击。 值得注意的是，Drupal已将CKEditor更新至版本4.14，如需利用该版本的两个漏洞，黑客必须
据外媒报道，Drupal内容管理系统研究人员近日披露，CKEditor开源WYSIWYG编辑器存在严重漏洞，该漏洞允许未经身份验证的黑客访问任意跨站点脚本，并进行XSS攻击。  值得注意的是，Drupal已将CKEditor更新至版本4.14，如需利用该版本的两个漏洞，黑客必须以WYSIWYG或源代码模式将恶意HTML代码粘贴到编辑器中，或将CKEditor切换到源代码模式，粘贴恶意代码，再切换回所得模式，并使用WebSpellChecker Dialog插件文件预览内容，发动XSS攻击。 专家建议用户将Drupal更新到版本8.8.4或8.7.12，并禁用CKEditor模块以防止潜在攻击。（编辑：阿坝站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |