CKEditor 历史漏洞复现：CVE-2014-5191（无Poc）

本文链接：https://blog.csdn.net/soldi_er/article/details/120948094

选择测试版本 4.4.2

根据官方公告的漏洞修复情况来看，第一个选择最好是 4.4.2。

安装 2015 年发布版本 4.4.2

npm 安装 - 未成功

访问 CKEditor 4 官方指南，查看 [Getting Started]模块。

新建 down-test 目录，测试不同命令的安装结果。

npm 安装命令	执行结果
npm install ckeditor	安装 ckeditor@4.12.1
npm install ckeditor4	安装 ckeditor@4.16.2
npm install ckeditor@4.4.2	Error: No matching version found for ckeditor@4.4.2
npm install ckeditor4@4.4.2	同上 error，a package version that doesn’t exist.

bower 安装 - 成功

bower是一种包管理器，它可用于搜索、安装和卸载如JavaScript、HTML、CSS之类的网络资源。它依赖于node.js和npm，如果要使用它需要先安装node.js和npm，因为node.js包含npm，所以只需要安装node.js即可。点击进入node官网

全局安装 bower：npm install -g bower，得到 bower@1.8.12。

安装 CKEditor 4.4.2：bower install ckeditor#4.4.2，安装成功。
在这里插入图片描述

页面引用 CKEditor

参考本地搭建 CKEditor 4.16.2 并使用两种模式编写 demo（实验文）

使用相同的 demo 代码引用 CKEditor，但由于路径不对没能引用 CKEditor 4.4.2，如下图只是一个文本框 textarea。
在这里插入图片描述
调整路径调用 CKEditor JS API ，效果如图所示，与 CKEditor 4.16.2 的效果图相同。

对 <script>alert(/xss/);</script> 的处理也与 CKEditor 4.16.2 相同。

测试 aaa ，CKEditor 仍然会添加 <p> 标签并闭合。

在这里插入图片描述

加载预览插件

2014 年 7 月， CKEditor 官网 4.4.3 发布公告

Security Updates:

   Fixed XSS vulnerability in the Preview plugin reported by Mario Heiderich of Cure53.

官网查看指引文档，找到插件下载地址，在 Preview 下载插件，提供了插件安装教程。If you want to add the plugin manually, you will need to:

Extract the downloaded plugin .zip into the plugins folder of your CKEditor installation. Example: http://example.com/ckeditor/plugins/preview
Enable the plugin by using the extraPlugins configuration setting. Example:

config.extraPlugins = ‘preview’;
Download and configure all its dependencies, too: No additional dependencies.

发现本地有 preview 插件，打开 ckeditor.js，搜索 config.plugins，在字符串中间添加 plugins,。然后打开首页，可以看到在 [源码] 功能右边多了 [预览] 功能。
在这里插入图片描述

盲测漏洞

测试用例-无漏洞

测试数据： <script>alert(/xss/);</script>

预览窗口
在这里插入图片描述
直接打开该 URL，发现是空白页面，传递的字符串已经被删除。预览文件的前端源码，如下图所示，向文件写入 window.opener._cke_htmlToLoad，然后删除该字符串。

google 检索通告内容 Fixed XSS vulnerability in the Preview plugin reported by Mario Heiderich of Cure53，发现有同行整理了 CKEditor 的所有版本更新信息，可以偷懒不用自己爬取，下次一定。