p PatchFirst

CVE-2026-116675

CVE-2026-116675 · TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` serialization

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

TinyMCE is an open source rich text editor. From 7.9.3 until 7.9.4 and from 8.5.1 until 8.9.3, the media plugin creates elements crafted through data-mce-object in the active document before sanitization. Those elements can execute malicious scripts during processing, resulting in stored cross-site scripting for users with the media plugin enabled. This issue is fixed in versions 8.9.3 and 7.9.4.

CVSS 8.5 · Высокий · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: php · node

Затронутые продукты и версии

  • tinymce

    Версии
    • >= 8.5.1, < 8.9.3: Затронуто
    • >= 7.9.3, < 7.9.4: Затронуто

    Нет опубликованного исправления

  • tinymce npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 8.5.1, < 8.9.3

    Обновитесь до 8.9.3

  • tinymce NuGet

    Версии
    • 8.5.1
    • 8.6.0
    • 8.7.0
    • 8.8.0
    • 8.8.1
    • 8.8.2
    • 8.9.0
    • 8.9.1
    • 8.9.2
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 8.5.1, < 8.9.3

    Обновитесь до 8.9.3

  • tinymce/tinymce Packagist

    Версии
    • 8.5.1
    • 8.6.0
    • 8.7.0
    • 8.8.0
    • 8.8.1
    • 8.8.2
    • 8.9.0
    • 8.9.1
    • 8.9.2
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 8.5.1, < 8.9.3

    Обновитесь до 8.9.3

  • tinymce npm

    Версии
    • 7.9.3
    Затронутые диапазоны версий
    • SEMVER: ≥ 7.9.3, < 7.9.4

    Обновитесь до 7.9.4

  • tinymce NuGet

    Версии
    • 7.9.3
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 7.9.3, < 7.9.4

    Обновитесь до 7.9.4

  • tinymce/tinymce Packagist

    Версии
    • 7.9.3
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 7.9.3, < 7.9.4

    Обновитесь до 7.9.4

Первоисточники

Проверьте свой сервер →