Уязвимости CKEditor 4CKEditor 4: известные уязвимости и безопасные версии
npm: ckeditor4
Для CKEditor 4 известно записей об уязвимостях: 26. Из них 16 — в данных npm (GitHub Advisory Database через OSV, тот же источник, что у npm audit), 10 — только в Retire.js (сборки с CDN и бюллетени без CVE). Последняя версия — 49.0.0 (endoflife.date).
По веткам: 5.x — известных записей нет; 4.x — безопасна с 4.25.0.
Уязвимости и безопасная версия по веткам
Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.
| Ветка | Поддержка | Последняя в ветке | Записи | Безопасная версия |
|---|---|---|---|---|
| 5.x | Поддерживается | 49.0.0 | 0 | — |
| 4.x | Закончилась (30 июня 2023 г.) | 4.25.2 | 26высокая | 4.25.0 |
Записи
Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.
CVE-2024-434112024-08-21
CKEditor4 has a low risk cross-site scripting (XSS) vulnerability from domain takeover
Затронутые версии: >= 4.22.0, < 4.25.0
низкая 3.1
Исправлено в: 4.25.0
CVE-2024-434072024-08-21
Code Snippet GeSHi plugin has reflected cross-site scripting (XSS) vulnerability
Затронутые версии: < 4.25.0
средняя 6.1
Исправлено в: 4.25.0
CVE-2024-24816есть код эксплойта2024-02-07
Cross-site scripting (XSS) vulnerability in samples with enabled the preview feature
Затронутые версии: < 4.24.0-lts
средняя 6.1
Исправлено в: 4.24.0-lts
EPSS 1,6%
CVE-2024-248152024-02-07
CKEditor4 Cross-site scripting (XSS) vulnerability caused by incorrect CDATA detection
Затронутые версии: < 4.24.0-lts
средняя 6.1
Исправлено в: 4.24.0-lts
CVE-2023-47712023-11-16
Cross-Site Scripting vulnerability in CKSource CKEditor
Затронутые версии: < 4.24.0-lts
средняя 6.1
Исправлено в: 4.24.0-lts
CVE-2023-284392023-03-22
ckeditor4 plugins vulnerable to cross-site scripting caused by the editor instance destroying process
Затронутые версии: < 4.21.0
средняя 6.1
Исправлено в: 4.21.0
CVE-2022-247292022-03-16
Regular expression Denial of Service in dialog plugin
Затронутые версии: < 4.18.0
высокая 7.5
Исправлено в: 4.18.0
EPSS 2,4%
средняя 5.4
Исправлено в: 4.18.0
EPSS 1,2%
CVE-2021-411652021-11-17
HTML comments vulnerability allowing to execute JavaScript code
Затронутые версии: < 4.17.0
средняя 5.4
Исправлено в: 4.17.0
EPSS 1,5%
CVE-2021-411642021-11-17
Advanced Content Filter (ACF) vulnerability allowing to execute JavaScript code using malformed HTML
Затронутые версии: < 4.17.0
средняя 5.4
Исправлено в: 4.17.0
EPSS 1,3%
CVE-2021-376952021-08-12
Execution of JavaScript code using malformed HTML in ckeditor
Затронутые версии: < 4.16.2
средняя 5.4
Исправлено в: 4.16.2
EPSS 1,3%
CVE-2021-328092021-08-12
Arbitrary HTML injection vulnerability in ckeditor
Затронутые версии: >= 4.5.2, < 4.16.2 · < 4.16.2
средняя 5.4
Исправлено в: 4.16.2
EPSS 1,1%
CVE-2021-328082021-08-12
Cross-site scripting in ckeditor via abuse of undo functionality
Затронутые версии: >= 4.13.0, < 4.16.2 · < 4.16.2
средняя 5.4
Исправлено в: 4.16.2
EPSS 1,1%
CVE-2021-33829есть код эксплойта2021-06-09
A cross-site scripting (XSS) vulnerability in the HTML Data Processor in CKEditor 4 4.14.0 through 4.16.x before 4.16.1 allows remote attack
Затронутые версии: >= 4.14.0, < 4.16.1
средняя 6.1
Исправлено в: 4.16.1
EPSS 3,1%
CVE-2021-262722021-01-26
It was possible to execute a ReDoS-type attack inside CKEditor 4 before 4.16 by persuading a victim to paste crafted URL-like text into the
Затронутые версии: < 4.16.0
средняя 6.5
Исправлено в: 4.16.0
EPSS 2,3%
CVE-2020-271932020-11-12
A cross-site scripting (XSS) vulnerability in the Color Dialog plugin for CKEditor 4.15.0 allows remote attackers to run arbitrary web scrip
Затронутые версии: < 4.15.1
средняя 6.1
Исправлено в: 4.15.1
EPSS 2%
CVE-2020-92812020-03-06
A cross-site scripting (XSS) vulnerability in the HTML Data Processor for CKEditor 4.0 before 4.14 allows remote attackers to inject arbitra
Затронутые версии: < 4.14.0
средняя 6.1
Исправлено в: 4.14.0
EPSS 4,3%
CVE-2018-179602018-11-14
CKEditor 4.x before 4.11.0 allows user-assisted XSS involving a source-mode paste.
Затронутые версии: >= 4.0.0, < 4.11.0
средняя 6.1
Исправлено в: 4.11.0
EPSS 1,9%
без CVE
XSS if the enhanced image plugin is installed
Затронутые версии: >= 4.5.11, < 4.9.2
средняя
Исправлено в: 4.9.2
без CVE
XSS
Затронутые версии: < 4.5.11
средняя
Исправлено в: 4.5.11
без CVE
XSS
Затронутые версии: < 4.4.8
средняя
Исправлено в: 4.4.8
без CVE
XSS
Затронутые версии: < 4.4.6
средняя
Исправлено в: 4.4.6
без CVE
XSS
Затронутые версии: < 4.4.3
средняя
Исправлено в: 4.4.3
без CVE
ReDoS vulnerability in Autolink plugin and Advanced Tab for Dialogs plugin
Затронутые версии: < 4.16.0
низкая
Исправлено в: 4.16.0
без CVE
XSS-type attack inside CKEditor 4 by persuading a victim to paste a specially crafted HTML code into the Color Button dialog
Затронутые версии: < 4.15.1
средняя
Исправлено в: 4.15.1
без CVE
XSS
Затронутые версии: < 4.14.0
низкая
Исправлено в: 4.14.0
Источники и метод
Диапазоны: GitHub Advisory Database (выгрузка OSV для npm, ежедневно) и Retire.js (Apache-2.0). Эксплуатация: CISA KEV, FIRST EPSS и зрелость эксплойта из базы CVE Noroxi. Даты поддержки: endoflife.date.
Эта страница и сканер JavaScript-библиотек используют одно правило сопоставления: строка без границ не считается доказательством, версии сравниваются в одном месте. Запись без диапазона версий не считается «затрагивающей» при проверке версии.
Данные на 28 октября 2026 г..