TinyMCE 存在反射型跨站脚本漏洞-低调大师

TinyMCE 存在反射型跨站脚本漏洞

2022-12-10 1706

漏洞描述

TinyMCE 是一个开源的富文本编辑器。

TinyMCE 的受影响版本中由于未正确清理“WindowManager.alert”和“WindowManager.confirm” API 消息中的 HTML 从而存在 XSS 漏洞。攻击者可利用此漏洞向警报和确认对话框中提供恶意的 HTML 内容，当 TinyMCE UI 弹出报警或错误对话框时执行攻击者可控的恶意 Javascript 代码。

用户可参考 images _ load _ Handler 文档确保 images _ load _ Handler 返回始终有效值缓解此漏洞。

漏洞名称	TinyMCE 存在反射型跨站脚本漏洞
漏洞类型	XSS
发现时间	2022-12-09
漏洞影响广度	小
MPS编号	MPS-2022-1921
CVE编号	CVE-2022-23494
CNVD编号	-

影响范围

tinymce@[6.0.0, 6.3.1)

tinymce@(-∞, 5.10.7)

tinymce/tinymce@[6.0.0, 6.3.1)

tinymce/tinymce@(-∞, 5.10.7)

tinymce@[6.0.0, 6.3.1)

修复方案

将组件 tinymce 升级至 6.3.1 及以上版本

将组件 tinymce 升级至 5.10.7 及以上版本

将组件 tinymce/tinymce 升级至 6.3.1 及以上版本

将组件 tinymce/tinymce 升级至 5.10.7 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-1921

https://nvd.nist.gov/vuln/detail/CVE-2022-23494

https://github.com/tinymce/tinymce/security/advisories/GHSA-gg8r-xjwq-4w92

https://github.com/tinymce/tinymce/commit/6923d85eba6de3e08ebc9c5a387b5abdaa21150e

https://github.com/tinymce/tinymce/commit/8bb2d2646d4e1a718fce61a775fa22e9d317b32d

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/221143

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Go 语言通用代码生成器仙童尝鲜版十一，发布最新介绍视频

Go 语言通用代码生成器仙童尝鲜版十一，发布最新介绍视频 Go 语言通用代码生成器仙童尝鲜版十一，发布最新介绍视频。请见： https://www.bilibili.com/video/BV1ce411P7qU/ GO 语言通用代码生成器：仙童尝鲜版十一。在尝鲜版十基础上有增强和修错，并支持数据库表与字段的中文注释和兼容所有 java 通用代码生成器的 SGS2 模板，直接生成 go 语言后端和 Vue 前端，并自动格式化 java 语言 SGS2 模板至 go 语言模板。支持三大变形功能群，支持四种数据库，支持 Excel 数据导出。支持复杂版面和图形报表。尝鲜版十一最大特点是兼容 Java 通用代码生成器的 Excel 模板。您需要打开 “使用 Java 兼容性” 复选框，系统即可使用 java 通用代码生成器光，和平之翼代码生成器和无垠式代码生成器的 SGS2 模板（即 Excel 模板）生成 go 语言的代码生成物。唯一的不同是仙童的 daoimpl,serviceimpl 的包名不支持点号，您需要把文件夹设为单层即可。仙童第一个稳定版，是尝鲜版十。功能基本完备，所有示例通...

2022-12-10

406

漏洞描述 Containous Traefik是美国Containous公司的一款反向代理和负载平衡器。Containous Traefik 2.9.6之前的版本存在信息泄露漏洞，该漏洞源于其调试日志中显示授权标头。漏洞名称 Containous Traefik 授权标头泄露漏洞漏洞类型信息暴露发现时间 2022-12-09 漏洞影响广度小 MPS编号 MPS-2022-1896 CVE编号 CVE-2022-23469 CNVD编号 - 影响范围 github.com/traefik/traefik/v2@(-∞, 2.9.6) 修复方案将组件 github.com/traefik/traefik/v2 升级至 2.9.6 及以上版本参考链接 https://www.oscs1024.com/hd/MPS-2022-1896 https://nvd.nist.gov/vuln/detail/CVE-2022-23469 情报订阅 OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏...

2022-12-10

539

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。