CVE-2025-21610 in trix
Résumé
par VulDB • 09/06/2026
Trix est un éditeur de texte riche « WYSIWYG » (What You See Is What You Get) conçu pour la rédaction quotidienne. Les versions antérieures à la 2.1.12 sont vulnérables aux attaques par script intersite (Cross-Site Scripting, XSS) lors du collage d'un code malveillant dans le champ de lien. Un attaquant pourrait inciter l'utilisateur à copier-coller une URL `javascript:` malveillante en tant que lien, ce qui exécuterait du code JavaScript arbitraire dans le contexte de la session de l'utilisateur, entraînant potentiellement des actions non autorisées ou la divulgation d'informations sensibles. Les utilisateurs doivent mettre à niveau vers la version 2.1.12 (ou ultérieure) de Trix pour bénéficier d'un correctif. En plus de procéder à cette mise à jour, les utilisateurs concernés peuvent interdire l'utilisation de navigateurs ne prenant pas en charge une Politique de Sécurité du Contenu (Content Security Policy, CSP), afin de contourner ce problème et d'autres vulnérabilités XSS. Définissez des politiques CSP telles que `script-src 'self'` pour garantir que seuls les scripts hébergés sur la même origine soient exécutés, et interdisez explicitement les scripts intégrés en utilisant `script-src-elem`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.