根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 8.9.18 的 8.9.x，低于 9.1.12 的 9.1.x 或低于 9.2.4 的 9.2.x。因此，该实例因使用第三方组件 CKEditor 进行 WYSIWYG 编辑而受到多个漏洞的影响：

 - 在 CKEditor 4 Fake Objects 程序包中发现一个漏洞。该漏洞允许注入畸形 Fake Objects HTML，从而导致执行 JavaScript 代码。(CVE-2021-37695)

 - 在剪贴板小组件插件中发现一个漏洞，前提是该插件与撤消功能一起使用。该漏洞允许用户使用畸形的小组件 HTML 滥用撤消功能，从而导致执行 JavaScript 代码。(CVE-2021-32808)

 - 在 CKEditor 4 Clipboard 程序包中发现一个漏洞。该漏洞允许通过使用畸形 HTML 滥用粘贴功能，从而导致将任意 HTML 注入编辑器。(CVE-2021-32809)

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ckeditor 是一种开源 WYSIWYG HTML 编辑器，提供大量内容支持。在 CKEditor 4 [剪贴板](https://ckeditor.com/cke4/addon/clipboard) 程序包中发现一个潜在漏洞。该漏洞允许通过使用畸形 HTML 滥用粘贴功能，从而导致将任意 HTML 注入编辑器。其会影响上文所列 CKEditor 4 插件（高于或同于 4.5.2 版本）的所有用户。此问题已得到确认和修补。4.16.2 版本中将提供此补丁。
    (CVE-2021-32809)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 8.9.18 的 8.9.x，低于 9.1.12 的 9.1.x 或低于 9.2.4 的 9.2.x。因此，该实例因使用第三方组件 CKEditor 进行 WYSIWYG 编辑而受到多个漏洞的影响：

  - 在 CKEditor 4 Fake Objects 程序包中发现一个漏洞。该漏洞允许注入畸形 Fake Objects HTML，从而导致执行 JavaScript 代码。(CVE-2021-37695)

  - 在剪贴板小组件插件中发现一个漏洞，前提是该插件与撤消功能一起使用。该漏洞允许用户使用畸形的小组件 HTML 滥用撤消功能，从而导致执行 JavaScript 代码。(CVE-2021-32808)

  - 在 CKEditor 4 Clipboard 程序包中发现一个漏洞。该漏洞允许通过使用畸形 HTML 滥用粘贴功能，从而导致将任意 HTML 注入编辑器。(CVE-2021-32809)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Ubuntu 18.04 LTS / 20.04 LTS / 21.10 主机上安装的程序包受到 USN-5340-1 公告中提及的多个漏洞的影响。

  - CKEditor 的 Enhanced Image（也称为 image2）插件（8.4.7 之前的 Drupal 8、8.5.2 之前的 Drupal 8.5.x 及其它产品均在使用此插件）中存在跨站脚本 (XSS) 漏洞（适用于 4.5.10 至 4.9.1 版本中；已在 4.9.2 版本中修复），此漏洞允许远程攻击者通过构建的 IMG 元素注入任意 Web 脚本。
    (CVE-2018-9861)

  4.14 之前的 CKEditor 4.0 的 HTML 数据处理器中存在跨站脚本 (XSS) 漏洞，该漏洞会允许远程攻击者通过构建的受保护注释 （带有 cke_protected 语法）注入任意 web 脚本。(CVE-2020-9281)

  - ckeditor 是一种开源 WYSIWYG HTML 编辑器，提供大量内容支持。搭配使用剪贴板小组件插件和撤消功能时，发现存在一个漏洞。该漏洞允许用户使用畸形的 HTML 小组件滥用撤消功能，从而导致执行 JavaScript 代码。其会影响上文所列 CKEditor 4 插件（高于或同于 4.13.0 版本）的所有用户。此问题已得到确认和修补。版本 4.16.2 中将提供修补程序。(CVE-2021-32808)

  - ckeditor 是一种开源 WYSIWYG HTML 编辑器，提供大量内容支持。在 CKEditor 4 [剪贴板](https://ckeditor.com/cke4/addon/clipboard) 程序包中发现一个潜在漏洞。该漏洞允许通过使用畸形 HTML 滥用粘贴功能，从而导致将任意 HTML 注入编辑器。其会影响上文所列 CKEditor 4 插件（高于或同于 4.5.2 版本）的所有用户。此问题已得到确认和修补。4.16.2 版本中将提供此补丁。
    (CVE-2021-32809)

  - 在 2021.8.22 之前的 NTFS-3G 版本中，当在 NTFS 映像中提供特别构建的 MFT 区段时，可发生堆缓冲区溢出并允许执行代码。(CVE-2021-33289)

  - ckeditor 是一种开源 WYSIWYG HTML 编辑器，提供大量内容支持。在 CKEditor 4 [伪造对象](https://ckeditor.com/cke4/addon/fakeobjects) 程序包中发现一个潜在漏洞。该漏洞允许注入畸形 HTML 伪造对象，从而导致执行 JavaScript 代码。其会影响上文所列 CKEditor 4 插件（低于 4.16.2 版本）的所有用户。此问题已得到确认和修补。版本 4.16.2 中将提供修补程序。(CVE-2021-37695)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Ubuntu 16.04 ESM 主机上安装的一个程序包受到 USN-5340-2 公告中提及的多个漏洞影响。

    USN-5340-1 修复了 CKEditor 中的多个漏洞。此更新提供针对 Ubuntu 16.04 ESM 的 CVE-2018-9861、CVE-2020-9281、CVE-2021-32809、CVE-2021-33829 和 CVE-2021-37695 的修补程序。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
112947	Drupal 8.9.x< 8.9.18 第三方库漏洞	Web App Scanning	Component Vulnerability	2021/9/6	2023/3/14	medium
112945	Drupal 9.2.x< 9.2.4 第三方库漏洞	Web App Scanning	Component Vulnerability	2021/9/6	2023/3/14	medium
112946	Drupal 9.1.x< 9.1.12 第三方库漏洞	Web App Scanning	Component Vulnerability	2021/9/6	2023/3/14	medium
223798	Linux Distros 未修补的漏洞: CVE-2021-32809	Nessus	Misc.	2025/3/5	2025/8/18	medium
152533	Drupal 8.9.x < 8.9.18 / 9.1.x < 9.1.12 / 9.2.x < 9.2.4 多个漏洞 (SA-CORE-2021-005)	Nessus	CGI abuses	2021/8/12	2022/4/11	medium
159137	Ubuntu 18.04 LTS / 20.04 LTS：CKEditor 漏洞 (USN-5340-1)	Nessus	Ubuntu Local Security Checks	2022/3/22	2024/8/29	medium
183711	Ubuntu 16.04 ESM：CKEditor 漏洞 (USN-5340-2)	Nessus	Ubuntu Local Security Checks	2023/10/23	2024/10/29	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium