自己報告されたバージョン番号によると、リモートホストで実行されている CKEditor アプリケーションは 4.25.0-LTS より前、または 4.25.0-LTS より前の 4.22.x です。したがって、複数のクロスサイトスクリプティングの影響を受けます。

- CKEditor 4 内のコードスニペット GeSHi プラグイン。この脆弱性により、被害者がホストする GeSHi 構文ハイライターライブラリの欠陥を悪用した反射型 XSS 攻撃が可能になりました。- 理論上の脆弱性が CKEditor 4.22 (およびそれ以降) で特定されました。攻撃者が https://cke4.ckeditor.com ドメインのコントロールを取得する可能性は非常に低いため、CKEditor 4 インスタンスに対して攻撃を実行する可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根据其自我报告的版本号，远程主机上运行的 CKEditor 应用程序版本为低于 4.25.0-LTS 的版本或低于 4.25.0-LTS 的 4.22.x 版。因此，该应用程序受到多个跨站脚本漏洞的影响：

- 在 CKEditor 4 Code Snippet GeSHi 插件中。通过利用受害者托管的 GeSHi 语法高亮显示库中的缺陷，此漏洞可导致反射型 XSS 攻击。- 在 CKEditor 4.22 及更高版本中发现一个理论上的漏洞。在攻击者获得了对 https://cke4.ckeditor.com 域的控制权的极不可能的情况下，他们可能会对 CKEditor 4 实例执行攻击。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根據應用程式自我報告的版本號碼，遠端主機上執行的 CKEditor 應用程式為 4.25.0-LTS 之前版本，或為 4.25.0-LTS 之前的 4.22.x 版。因此，它受到多個跨網站指令碼弱點影響：

- 在 CKEditor 4 程式碼片段 GeSHi plugin 中。此弱點允許攻擊者利用受害者主控的 GeSHi Syntax Highlighter 程式庫中的一個缺陷來發動反射式 XSS 攻擊。- 在 CKEditor 4.22 (和更新版本) 中發現一個理論上的弱點。在極不可能發生的情況下，攻擊者可控制 https://cke4.ckeditor.com 網域，對 CKEditor 4 執行個體發動攻擊。

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

According to its self-reported version number, the CKEditor application running on the remote host is prior to 4.25.0-LTS or 4.22.x prior to 4.25.0-LTS. It is, therefore, affected by multiples Cross-Site-Scripting :

- In CKEditor 4 Code Snippet GeSHi plugin. The vulnerability allowed a reflected XSS attack by exploiting a flaw in the GeSHi syntax highlighter library hosted by the victim. - A theoretical vulnerability has been identified in CKEditor 4.22 (and above). In a highly unlikely scenario where an attacker gains control over the https://cke4.ckeditor.com domain, they could potentially execute an attack on CKEditor 4 instances.

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - CKEditor4 is an open source what-you-see-is-what-you-get HTML editor. A potential vulnerability has been
    discovered in CKEditor 4 Code Snippet GeSHi plugin. The vulnerability allowed a reflected XSS attack by
    exploiting a flaw in the GeSHi syntax highlighter library hosted by the victim. The GeSHi library was
    included as a vendor dependency in CKEditor 4 source files. In a specific scenario, an attacker could
    craft a malicious script that could be executed by sending a request to the GeSHi library hosted on a PHP
    web server. The GeSHi library is no longer actively maintained. Due to the lack of ongoing support and
    updates, potential security vulnerabilities have been identified with its continued use. To mitigate these
    risks and enhance the overall security of the CKEditor 4, we have decided to completely remove the GeSHi
    library as a dependency. This change aims to maintain a secure environment and reduce the risk of any
    security incidents related to outdated or unsupported software. The fix is be available in version
    4.25.0-lts. (CVE-2024-43407)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - CKEditor4 是一個開放原始碼的 what-you-see-is-what-you-get HTML 編輯器。在 CKEditor 4 Code Snippet GeSHi 外掛程式中發現一個潛在弱點。此弱點允許攻擊者利用受害者主控的 GeSHi Syntax Highlighter 程式庫中的一個缺陷來發動反射式 XSS 攻擊。GeSHi 程式庫做為 CKEditor 4 來源檔案中的供應商相依性納入。在特定狀況下攻擊者可特製惡意指令碼透過傳送要求至 PHP Web 伺服器上主控的 GeSHi 程式庫來執行此指令碼。GeSHi 程式庫不再受到主動維護。由於缺乏持續支援與更新持續使用時已發現潛在的安全性弱點。為了減輕這些風險並增強 CKEditor 4 的整體安全性我們已決定將作為相依性的 GeSHi 程式庫完全移除。此變更旨在維護安全的環境並降低與過時或不受支援之軟體相關的任何安全性資安事端的風險。4.25.0-lts 版中提供此修正。 (CVE-2024-43407)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - CKEditor4 是一种开源 what-you-see-is-what-you-get HTML 编辑器。在 CKEditor 4 代码片段 GeSHi 插件中发现一个潜在漏洞。通过利用受害者托管的 GeSHi 语法高亮显示库中的缺陷，此漏洞可导致反射型 XSS 攻击。GeSHi 库作为供应商依存关系包含在 CKEditor 4 源文件中。在特定情况下攻击者可构建恶意脚本通过向 PHP Web 服务器上托管的 GeSHi 库发送请求来执行此脚本。不再主动维护 GeSHi 库。由于缺少持续的支持和更新已发现继续使用其存在潜在的安全漏洞。为降低这些风险并增强 CKEditor 4 的整体安全性，我们决定完全删除依存关系 GeSHi 库。此更改旨在维护安全的环境并降低与过时或不受支持的软件相关的任何安全事件的风险。版本 4.25.0-lts 中提供了该补丁。 (CVE-2024-43407)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - CKEditor4 はオープンソースの what-you-see-is-what-you-get HTML エディターです。CKEditor 4 Code Snippet GeSHi プラグインで潜在的な脆弱性が発見されました。この脆弱性により、被害者がホストする GeSHi 構文ハイライターライブラリの欠陥を悪用した反射型 XSS 攻撃が可能になりました。GeSHi ライブラリは、CKEditor 4 ソースファイルのベンダー依存関係として含まれていました。特定のシナリオでは、攻撃者が悪意のあるスクリプトを作成して、PHP WebサーバーでホストされているGeSHiライブラリにリクエストを送信することで実行される可能性があります。GeSHi ライブラリは積極的なメンテナンスが行われなくなりました。継続的なサポートと更新がないため、潜在的なセキュリティ脆弱性は継続的な使用で特定されています。これらのリスクを軽減し、CKEditor 4 のセキュリティ全体を強化するため、依存関係である GeSHi ライブラリを完全に削除することに決定しました。この変更の目的は、安全な環境を維持し、古いソフトウェアやサポートされていないソフトウェアに関連するセキュリティインシデントのリスクを軽減することです。この修正は、バージョン 4.25.0-lts で利用可能です。CVE-2024-43407

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - CKEditor4 is an open source what-you-see-is-what-you-get HTML editor. A potential vulnerability has been     discovered in CKEditor 4 Code Snippet GeSHi plugin. The vulnerability allowed a reflected XSS attack by     exploiting a flaw in the GeSHi syntax highlighter library hosted by the victim. The GeSHi library was     included as a vendor dependency in CKEditor 4 source files. In a specific scenario, an attacker could     craft a malicious script that could be executed by sending a request to the GeSHi library hosted on a PHP     web server. The GeSHi library is no longer actively maintained. Due to the lack of ongoing support and     updates, potential security vulnerabilities have been identified with its continued use. To mitigate these     risks and enhance the overall security of the CKEditor 4, we have decided to completely remove the GeSHi     library as a dependency. This change aims to maintain a secure environment and reduce the risk of any     security incidents related to outdated or unsupported software. The fix is be available in version     4.25.0-lts. (CVE-2024-43407)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
114425	CKEditor < 4.25.0-LTS 複数のクロスサイトスクリプティング	Web App Scanning	Component Vulnerability	9/9/2024	9/9/2024	medium
114425	CKEditor < 4.25.0-LTS 多个跨站脚本	Web App Scanning	Component Vulnerability	9/9/2024	9/9/2024	medium
114425	CKEditor < 4.25.0-LTS 多個跨網站指令碼弱點	Web App Scanning	Component Vulnerability	9/9/2024	9/9/2024	medium
114425	CKEditor < 4.25.0-LTS Multiples Cross-Site Scripting	Web App Scanning	Component Vulnerability	9/9/2024	9/9/2024	medium
412221	SCA: security update for ckeditor/ckeditor, ckeditor4 (GHSA-7r32-vfj5-c2jv)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	medium
412221	SCA: security update for ckeditor/ckeditor, ckeditor4 (GHSA-7r32-vfj5-c2jv)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	medium
258379	Linux Distros 未修補的弱點：CVE-2024-43407	Nessus	Misc.	8/30/2025	9/2/2026	medium
258379	Linux Distros 未修补的漏洞：CVE-2024-43407	Nessus	Misc.	8/30/2025	9/2/2026	medium
258379	Linux Distros のパッチ未適用の脆弱性: CVE-2024-43407	Nessus	Misc.	8/30/2025	9/2/2026	medium
258379	Linux Distros Unpatched Vulnerability : CVE-2024-43407	Nessus	Misc.	8/30/2025	9/2/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium