CVE-2026-124422 Cross-site scripting (XSS) almacenado en SunEditor mediante html.clean() e iframes
SunEditor desde 3.0.0 hasta antes de 3.4.0 contiene una vulnerabilidad de cross-site scripting (XSS) almacenado en html.clean(), que reconstruye iframes a partir del JSON de data-se-iframe-holder-attrs sin filtrar srcdoc ni claves SRC en mayúsculas. Un atacante puede inyectar HTML manipulado mediante pegar, html.set o html.insert para ejecutar script en el origen de la página anfitriona cuando las víctimas cargan o pegan el contenido. Corrige la versión 3.4.0.
CVSS 3.1
- CVSS 4.05.3 · media
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 14
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
jihong88 suneditor
desde 3.0.0 hasta antes de 3.4.0
Qué hacer
- Verificá si usás suneditor y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.1 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
CVSS 4.0 · 5.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Baja
- Integridad (sistemas posteriores)Baja
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
SunEditor from 3.0.0 before 3.4.0 contains a stored cross-site scripting vulnerability in html.clean() that rebuilds iframes from data-se-iframe-holder-attrs JSON without filtering srcdoc or uppercase SRC keys. Attackers can inject crafted HTML through paste, html.set, or html.insert to execute script in the host page origin when victims load or paste the content.
Referencias (5)
- github.com/JiHong88/suneditor/security/advisories/GHSA-q867-q2hw-f8gp
- github.com/JiHong88/suneditor/commit/57db24ac218cd10942fed0bb8288e9cb40b334bb
- github.com/JiHong88/suneditor/releases/tag/3.4.0
- github.com/JiHong88/suneditor/blob/3.3.3/src/core/logic/dom/html.js#L336-L350
- www.vulncheck.com/advisories/suneditor-3.0.0-before-3.4.0-stored-xss-via-html-clean-ifram…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.