CVE-2026-54606

Nome do Software Vulnerável e Versões Afetadas SunEditor versões anteriores a 3.1.4

Description Um problema de Cross-Site Scripting (XSS) baseado em DOM existe no plugin Embed do SunEditor em src/plugins/modal/embed.js. O plugin utiliza DOMParser para analisar HTML de incorporação bruto e processar os nós DOM resultantes. Se um elemento de script externo seguir um iframe válido, o plugin recria um elemento de script usando o atributo src controlado pelo invasor e o anexa ao DOM ativo, levando à execução de JavaScript arbitrário. Se a aplicação armazenar ou refletir esse conteúdo sem sanitização no backend, isso pode resultar em XSS armazenado ou refletido quando outros usuários abrirem, visualizarem, renderizarem ou editarem o conteúdo, permitindo potencialmente ações não autorizadas na conta ou acesso a dados da página.

Recommendations Atualize o SunEditor para a versão 3.1.4. Como mitigação temporária, restrinja o uso do plugin Embed ou garanta que todo o conteúdo processado pelo editor seja estritamente sanitizado no backend antes de ser armazenado ou renderizado.