CVE-2026-116675
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
TinyMCE w wersjach od 7.9.3 do 7.9.4 oraz od 8.5.1 do 8.9.3 zawiera podatność stored XSS w pluginie media. Elementy tworzone przez data-mce-object mogą wykonywać złośliwe skrypty podczas przetwarzania, zanim nastąpi sanityzacja. Problem naprawiono w wersjach 8.9.3 i 7.9.4.
Ocena ryzyka
Użytkownicy z włączonym pluginem media mogą stać się ofiarami ataku XSS, co może prowadzić do kradzieży sesji lub wykonania akcji w imieniu użytkownika. Ryzyko dotyczy aplikacji wykorzystujących podatne wersje edytora.
Rekomendacja
Należy zaktualizować TinyMCE do wersji 8.9.3 lub 7.9.4 (lub nowszej). Do czasu aktualizacji zaleca się wyłączenie pluginu media lub ograniczenie możliwości wstawiania treści przez użytkowników.
Inne podatności w TinyMCE
Zobacz wszystkie- CVE-2026-47762Wysokie
TinyMCE to otwartoźródłowy edytor tekstu, który przed wersjami 5.11.1, 7.9.3 i 8.5.1 miał podatność na XSS typu stored poprzez sfałszowane komentarze mce:protected. Umożliwia to atakującym obejście sanitizacji i wstrzykiwanie skryptów, które są wykonywane po przywróceniu treści.
- CVE-2026-47760Wysokie
TinyMCE to otwartoźródłowy edytor tekstu, który w wersjach od 6.8.0 do przed 7.1.0 zawiera podatność XSS spowodowaną niewłaściwym zarządzaniem zakresem przestrzeni nazw SVG w sanitizatorze. Odpowiednio skonstruowany ładunek z użyciem zagnieżdżonych elementów może obejść sanitizację atrybutów i wykonać dowolny kod JavaScript.
- CVE-2026-47759Wysokie
TinyMCE to otwartoźródłowy edytor tekstu, który przed wersjami 5.11.1, 7.9.3 i 8.5.1 miał podatność na XSS typu stored poprzez niesanitizowane atrybuty data-mce-*. Umożliwia to atakującym wstrzykiwanie złośliwych wartości, które mogą nadpisywać bezpieczne atrybuty podczas serializacji.
- CVE-2024-21911Średnie
Podatność na przechowywany atak XSS w edytorze TinyMCE przed wersją 5.6.0. Niezautoryzowany atakujący może wstrzyknąć spreparowany kod HTML do edytora, co prowadzi do wykonania dowolnego JavaScriptu w przeglądarce innego użytkownika.
- CVE-2024-21910Średnie
Podatność XSS w edytorze TinyMCE przed wersją 5.10.0 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez spreparowane adresy URL obrazów lub linków. Kod wykonuje się w przeglądarce użytkownika edytującego treść.
- CVE-2024-21908Średnie
Podatność na przechowywany atak XSS w edytorze TinyMCE przed wersją 5.9.0. Nieuwierzytelniony atakujący zdalnie może wstawić spreparowany kod HTML do edytora, co prowadzi do wykonania dowolnego JavaScriptu w przeglądarce innego użytkownika.
Oryginalny opis (angielski, źródło NVD)
TinyMCE is an open source rich text editor. From 7.9.3 until 7.9.4 and from 8.5.1 until 8.9.3, the media plugin creates elements crafted through data-mce-object in the active document before sanitization. Those elements can execute malicious scripts during processing, resulting in stored cross-site scripting for users with the media plugin enabled. This issue is fixed in versions 8.9.3 and 7.9.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS