CVE-2024-21908
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Podatność na przechowywany atak XSS w edytorze TinyMCE przed wersją 5.9.0. Nieuwierzytelniony atakujący zdalnie może wstawić spreparowany kod HTML do edytora, co prowadzi do wykonania dowolnego JavaScriptu w przeglądarce innego użytkownika.
Ocena ryzyka
Ryzyko kradzieży sesji, przejęcia konta lub wycieku danych użytkowników korzystających z edytora TinyMCE.
Rekomendacja
Zaleca się natychmiastową aktualizację TinyMCE do wersji 5.9.0 lub nowszej.
Inne podatności w TinyMCE
Zobacz wszystkie- CVE-2026-47762Wysokie
TinyMCE to otwartoźródłowy edytor tekstu, który przed wersjami 5.11.1, 7.9.3 i 8.5.1 miał podatność na XSS typu stored poprzez sfałszowane komentarze mce:protected. Umożliwia to atakującym obejście sanitizacji i wstrzykiwanie skryptów, które są wykonywane po przywróceniu treści.
- CVE-2026-47760Wysokie
TinyMCE to otwartoźródłowy edytor tekstu, który w wersjach od 6.8.0 do przed 7.1.0 zawiera podatność XSS spowodowaną niewłaściwym zarządzaniem zakresem przestrzeni nazw SVG w sanitizatorze. Odpowiednio skonstruowany ładunek z użyciem zagnieżdżonych elementów może obejść sanitizację atrybutów i wykonać dowolny kod JavaScript.
- CVE-2026-47759Wysokie
TinyMCE to otwartoźródłowy edytor tekstu, który przed wersjami 5.11.1, 7.9.3 i 8.5.1 miał podatność na XSS typu stored poprzez niesanitizowane atrybuty data-mce-*. Umożliwia to atakującym wstrzykiwanie złośliwych wartości, które mogą nadpisywać bezpieczne atrybuty podczas serializacji.
- CVE-2024-21911Średnie
Podatność na przechowywany atak XSS w edytorze TinyMCE przed wersją 5.6.0. Niezautoryzowany atakujący może wstrzyknąć spreparowany kod HTML do edytora, co prowadzi do wykonania dowolnego JavaScriptu w przeglądarce innego użytkownika.
- CVE-2024-21910Średnie
Podatność XSS w edytorze TinyMCE przed wersją 5.10.0 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez spreparowane adresy URL obrazów lub linków. Kod wykonuje się w przeglądarce użytkownika edytującego treść.
Oryginalny opis (angielski, źródło NVD)
TinyMCE versions before 5.9.0 are affected by a stored cross-site scripting vulnerability. An unauthenticated and remote attacker could insert crafted HTML into the editor resulting in arbitrary JavaScript execution in another user's browser.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS