CKEditor 5: Cross-Site Scripting durch Prototype Pollution im Engine-Paket
Zusammenfassung
CKEditor 5 in den Versionen 45.0.0 bis vor 47.7.4 sowie 48.0.0 bis vor 48.5.1 verwendet eine verwundbare Version von es-toolkit. Die Prototype Pollution kann ausgelöst werden, während der Editor eingehende Werte des style-Attributs verarbeitet. Ein Angreifer, der präparierte Editorinhalte einreichen kann, kann unautorisiert JavaScript im Browser eines anderen Benutzers ausführen, sobald dieser den Inhalt öffnet. Der CVSS-Score beträgt 8.1 (hoch).
Betroffen
- @ckeditor/ckeditor5-engine und ckeditor5 ab 45.0.0 vor 47.7.4
- @ckeditor/ckeditor5-engine und ckeditor5 ab 48.0.0 vor 48.5.1
- Anwendungen, die eine eigene CKEditor-5-Kopie mitliefern
Behoben in
- 47.7.4 (LTS-Linie)
- 48.5.1 (Standardlinie) und neuer
Umgehung
Unbekannt. Der Hersteller dokumentiert keine Übergangsmassnahme.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
- Kein öffentlicher Proof-of-Concept bekannt.
- EPSS 0.5 % (Perzentil 43). Nicht in der CISA-KEV-Liste.
Unsere Empfehlung
- Alle CKEditor-5-Instanzen inventarisieren, einschliesslich npm-Projekte und mitgelieferter Drittanwendungen.
- Auf 47.7.4 (LTS) oder 48.5.1 oder neuer aktualisieren. Versionen 45.x und 46.x als betroffen behandeln.
- Bei mitgelieferten Anwendungen die Herstellerhinweise auf eine korrigierte Version prüfen.
- Internetexponierte Portale, Mandantensysteme und Ticketing-Tools priorisieren.
- Bis zur Korrektur die Nutzer mit Schreibrechten einschränken und HTML serverseitig bereinigen, bevor es angezeigt wird.
- NVD und den GitHub-Advisory GHSA-rh54-vffm-5fvp auf Aktualisierungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-rh54-vffm-5fvp github.com
- CKEditor 5 release v48.5.1 github.com
- CKEditor 5 release v47.7.4 github.com
- CKEditor blog: v48.5.1 and LTS v47.7.4 security fixes ckeditor.com
- Ubuntu CVE tracker ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:53.
Referenzen der NVD (5)
- https://github.com/ckeditor/ckeditor5/commit/4d9c5bb34f63cd956d15ccafbe584e14280c86a0
- https://github.com/ckeditor/ckeditor5/commit/a750e38635db6a18c5b11599c09f4fd702850423
- https://github.com/ckeditor/ckeditor5/releases/tag/v47.7.4
- https://github.com/ckeditor/ckeditor5/releases/tag/v48.5.1
- https://github.com/ckeditor/ckeditor5/security/advisories/GHSA-rh54-vffm-5fvp
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.