Критическая XSS-уязвимость в SunEditor (CVE-2026-59167): обход санитайзера
В SunEditor до версии 2.47.11 обнаружена критическая уязвимость класса XSS (CVSS 10.0), позволяющая обойти встроенный санитайзер с помощью namespaced- и кастомных HTML-элементов. При отображении созданного злоумышленником контента и взаимодействии пользователя с вредоносным элементом может выполниться произвольный скрипт в браузерном контексте приложения. Уязвимость затрагивает все приложения, использующие уязвимые версии редактора.
Подробности
Уязвимость затрагивает продукт JiHong88 suneditor всех версий до 2.47.11 включительно. Причина — непоследовательная фильтрация нестандартных элементов: санитайзер пропускал namespaced- и пользовательские теги, на которых сохранялись атрибуты-обработчики событий (например, event-handler атрибуты). Когда приложение отображает контент, контролируемый злоумышленником, и пользователь взаимодействует с таким специально сконструированным элементом, сохранённый обработчик срабатывает и выполняет скрипт в браузерном origin приложения. Последствия эксплуатации включают stored XSS, раскрытие данных и выполнение несанкционированных действий в контексте браузера жертвы — например, доступ к сессионным данным, манипуляции с интерфейсом и отправку запросов от имени пользователя. Уязвимости присвоен максимальный базовый балл CVSS 10.0 (CRITICAL), что отражает тяжесть возможного воздействия и отсутствие дополнительных условий для эксплуатации помимо взаимодействия пользователя с вредоносным элементом. Проблема исправлена в версии 2.47.11.Что делать
Основная рекомендация — как можно скорее обновить SunEditor до версии 2.47.11 или более поздней. Если немедленное обновление невозможно, следует рассмотреть временные компенсационные меры: — дополнительная серверная очистка и валидация пользовательского HTML перед сохранением и перед отдачей в клиент; — ограничение допустимых тегов и атрибутов строгим белым списком, исключающим namespaced- и кастомные элементы и любые event-handler атрибуты; — применение Content Security Policy (CSP), снижающей возможность выполнения инлайн-скриптов; — вывод пользовательского контента в изолированном контексте (например, sandbox-iframe) там, где это применимо. Также рекомендуется проверить, не сохранялся ли ранее потенциально вредоносный контент, и при необходимости провести его повторную очистку. Итог: CVE-2026-59167 — критическая уязвимость обхода санитайзера в SunEditor, ведущая к stored XSS. Единственное надёжное решение — обновление до 2.47.11; до его установки следует усилить очистку контента на стороне сервера и ограничить выполнение скриптов средствами CSP.Источник: CVE Project (cvelistV5)