TinyMCE 存在反射型跨站脚本漏洞-低调大师

TinyMCE 存在反射型跨站脚本漏洞

2022-12-10 1653 89

漏洞描述

TinyMCE 是一个开源的富文本编辑器。

TinyMCE 的受影响版本中由于未正确清理“WindowManager.alert”和“WindowManager.confirm” API 消息中的 HTML 从而存在 XSS 漏洞。攻击者可利用此漏洞向警报和确认对话框中提供恶意的 HTML 内容，当 TinyMCE UI 弹出报警或错误对话框时执行攻击者可控的恶意 Javascript 代码。

用户可参考 images _ load _ Handler 文档确保 images _ load _ Handler 返回始终有效值缓解此漏洞。

漏洞名称	TinyMCE 存在反射型跨站脚本漏洞
漏洞类型	XSS
发现时间	2022-12-09
漏洞影响广度	小
MPS编号	MPS-2022-1921
CVE编号	CVE-2022-23494
CNVD编号	-

影响范围

tinymce@[6.0.0, 6.3.1)

tinymce@(-∞, 5.10.7)

tinymce/tinymce@[6.0.0, 6.3.1)

tinymce/tinymce@(-∞, 5.10.7)

tinymce@[6.0.0, 6.3.1)

修复方案

将组件 tinymce 升级至 6.3.1 及以上版本

将组件 tinymce 升级至 5.10.7 及以上版本

将组件 tinymce/tinymce 升级至 6.3.1 及以上版本

将组件 tinymce/tinymce 升级至 5.10.7 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-1921

https://nvd.nist.gov/vuln/detail/CVE-2022-23494

https://github.com/tinymce/tinymce/security/advisories/GHSA-gg8r-xjwq-4w92

https://github.com/tinymce/tinymce/commit/6923d85eba6de3e08ebc9c5a387b5abdaa21150e

https://github.com/tinymce/tinymce/commit/8bb2d2646d4e1a718fce61a775fa22e9d317b32d

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/221143

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

2022-12-10 11:42:00

Go 语言通用代码生成器仙童尝鲜版十一，发布最新介绍视频

Go 语言通用代码生成器仙童尝鲜版十一，发布最新介绍视频 Go 语言通用代码生成器仙童尝鲜版十一，发布最新介绍视频。请见： https://www.bilibili.com/video/BV1ce411P7qU/ GO 语言通用代码生成器：仙童尝鲜版十一。在尝鲜版十基础上有增强和修错，并支持数据库表与字段的中文注释和兼容所有 java 通用代码生成器的 SGS2 模板，直接生成 go 语言后端和 Vue 前端，并自动格式化 java 语言 SGS2 模板至 go 语言模板。支持三大变形功能群，支持四种数据库，支持 Excel 数据导出。支持复杂版面和图形报表。尝鲜版十一最大特点是兼容 Java 通用代码生成器的 Excel 模板。您需要打开 “使用 Java 兼容性” 复选框，系统即可使用 java 通用代码生成器光，和平之翼代码生成器和无垠式代码生成器的 SGS2 模板（即 Excel 模板）生成 go 语言的代码生成物。唯一的不同是仙童的 daoimpl,serviceimpl 的包名不支持点号，您需要把文件夹设为单层即可。仙童第一个稳定版，是尝鲜版十。功能基本完备，所有示例通...

386

2022-12-10 09:43:00

Containous Traefik 授权标头泄露漏洞

漏洞描述 Containous Traefik是美国Containous公司的一款反向代理和负载平衡器。Containous Traefik 2.9.6之前的版本存在信息泄露漏洞，该漏洞源于其调试日志中显示授权标头。漏洞名称 Containous Traefik 授权标头泄露漏洞漏洞类型信息暴露发现时间 2022-12-09 漏洞影响广度小 MPS编号 MPS-2022-1896 CVE编号 CVE-2022-23469 CNVD编号 - 影响范围 github.com/traefik/traefik/v2@(-∞, 2.9.6) 修复方案将组件 github.com/traefik/traefik/v2 升级至 2.9.6 及以上版本参考链接 https://www.oscs1024.com/hd/MPS-2022-1896 https://nvd.nist.gov/vuln/detail/CVE-2022-23469 情报订阅 OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏...

528

资源下载

更多资源

Mario，低调大师唯一一个Java游戏作品

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Apache Tomcat7、8、9（Java Web服务器）

Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。因为Tomcat 技术先进、性能稳定，而且免费，因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可，成为目前比较流行的Web 应用服务器。

Eclipse（集成开发环境）

Eclipse 是一个开放源代码的、基于Java的可扩展开发平台。就其本身而言，它只是一个框架和一组服务，用于通过插件组件构建开发环境。幸运的是，Eclipse 附带了一个标准的插件集，包括Java开发工具（Java Development Kit，JDK）。

Java Development Kit(Java开发工具)

JDK是 Java 语言的软件开发工具包，主要用于移动设备、嵌入式设备上的java应用程序。JDK是整个java开发的核心，它包含了JAVA的运行环境（JVM+Java系统类库）和JAVA工具。