CVE-2026-116675

Mở trang đầy đủ

CVSS 8.5 HIGH

TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` serialization

Mã khác
GHSA-mf2p-h6hf-fcwm
Công bố
Cập nhật
Lần đầu thấy
Nguồn
GitHub Advisory, NVD, CVE.org, OSV.dev

Mô tả

Impact

Stored XSS vulnerability in the media plugin. Attackers can inject malicious scripts via elements crafted through the data-mce-object attribute, which are created and executed before sanitization. Impacts users of TinyMCE with the media plugin enabled.

Patches

This vulnerability has been patched in TinyMCE 8.9.3 and TinyMCE 7.9.4 by ensuring that, when using the media plugin, any content created through the data-mce-object attribute is properly sanitized first.

Workarounds

No official workaround available.

Fix

To avoid this vulnerability:

Upgrade to TinyMCE 8.9.3 or higher.
Upgrade to TinyMCE 7.9.4 or higher.

Acknowledgements

Tiny thanks Fariskhi Vidyan and David Vieira Kurz (HiSolutions AG) for their help identifying this vulnerability.

Điểm và phân loại

CVSS
8.5 HIGH v4.0
Nguồn điểm
NVD
Mức độ (theo nguồn)
HIGH
EPSS
0.35%
CWE
CWE-79

Vector CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Ảnh hưởng

Package Bản bị ảnh hưởng Bản đã sửa
npm tinymce >= 8.5.1, < 8.9.3 8.9.3
nuget TinyMCE >= 8.5.1, < 8.9.3 8.9.3
composer tinymce/tinymce >= 8.5.1, < 8.9.3 8.9.3
npm tinymce = 7.9.3 7.9.4
nuget TinyMCE = 7.9.3 7.9.4
composer tinymce/tinymce = 7.9.3 7.9.4
npm tinymce >= 7.9.3, < 7.9.4 7.9.4
nuget TinyMCE >= 7.9.3, < 7.9.4 7.9.4
composer tinymce/tinymce >= 7.9.3, < 7.9.4 7.9.4

Sản phẩm

  • tinymce tinymce

Vì sao được giữ

  • CVSS 8.5 >= 8.0

Loại tác động

Không nhận ra loại tác động nào từ CWE, vector hay mô tả.

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
GitHub_M
CVE.org · SSVC
Tự động hoá được: no · Khai thác: none · Tác động kỹ thuật: total
OSV.dev · ID
GHSA-mf2p-h6hf-fcwm

Tham khảo