ProseMirror prosemirror-view: Cross-Site Scripting in der Paste-Verarbeitung

Zusammenfassung

prosemirror-view, die View-Komponente des Rich-Text-Editor-Toolkits ProseMirror, validiert beim Einfügen von HTML die Attribute im Slice-Kontext der Zwischenablage nicht. Ein Benutzer, der präpariertes HTML in einen betroffenen Editor einfügt, kann dadurch bewirken, dass vom Angreifer kontrolliertes JavaScript im Browserfenster des Editors ausgeführt wird. Der Angreifer benötigt dafür, dass das Opfer den Inhalt einfügt; die Auswirkungen beschränken sich auf den Browserkontext des Editors, etwa auf Sitzungsdaten oder Aktionen innerhalb einer angemeldeten Anwendung.

Betroffen

• prosemirror-view-Versionen vor 1.42.3 (npm)
• Anwendungen und Frameworks, die ein verwundbares prosemirror-view einbinden, zum Beispiel TipTap-basierte Editoren oder Atlassian-Forge-UI-Kit-Apps (transitive Abhängigkeit)

Behoben in

• Auf prosemirror-view 1.42.3 oder neuer aktualisieren
• prosemirror-model zusammen mit prosemirror-view aktualisieren (1.42.3 benötigt prosemirror-model ^1.25.8)

Umgehung

Gemäss Sicherheitshinweis des Herstellers sind keine Workarounds bekannt. Das Aktualisieren ist die einzige dokumentierte Abhilfe.

Ausnutzung

• Es ist nicht bekannt, dass die Lücke aktiv ausgenutzt wird.
• CISA SSVC: Exploitation none, nicht automatisierbar.
• EPSS 0.00305 (niedrig).
• Kein öffentlicher Proof of Concept gefunden; nicht eingehend verifiziert.

Unsere Empfehlung

• Alle Anwendungen ermitteln, die prosemirror-view direkt oder transitiv verwenden, und Lockfiles sowie Abhängigkeitsbäume auf Versionen unter 1.42.3 prüfen.
• Auf 1.42.3 oder neuer zusammen mit prosemirror-model aktualisieren und den Editor, einschliesslich des Einfügens, testen.
• Ist kurzfristig kein Update möglich, Bearbeitungsrechte auf vertrauenswürdige Benutzer beschränken und eine restriktive Content Security Policy in Betracht ziehen, um die Skriptausführung zu begrenzen.
• Sicherheitshinweise des Herstellers und Changelogs auf neuere Versionen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-c8x8-7fp4-3x9w github.com
• Fix commit: Validate attributes provided via clipboard slice context github.com
• Fix commit: Mark version 1.42.3 (changelog) github.com
• GitLab Advisory Database entry advisories.gitlab.com
• VulDB entry vuldb.com
• HOL Guard CVE entry hol.org
• Atlassian Developer Community: Forge dependencies pin vulnerable prosemirror-view community.developer.atlassian.com
• Outline pull request: prosemirror-view 1.42.3 upgrade notes github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:33.