CVE-2026-47760
WysokieStreszczenie
TinyMCE to otwartoźródłowy edytor tekstu, który w wersjach od 6.8.0 do przed 7.1.0 zawiera podatność XSS spowodowaną niewłaściwym zarządzaniem zakresem przestrzeni nazw SVG w sanitizatorze. Odpowiednio skonstruowany ładunek z użyciem zagnieżdżonych elementów może obejść sanitizację atrybutów i wykonać dowolny kod JavaScript.
Ocena ryzyka
Podatność ta może prowadzić do wykonania złośliwego kodu JavaScript w kontekście użytkownika, co stwarza ryzyko kradzieży danych lub przejęcia sesji. Organizacje powinny być świadome potencjalnych zagrożeń związanych z wykorzystaniem tej luki.
Rekomendacja
Zaleca się aktualizację TinyMCE do wersji 7.1.0 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa aplikacji korzystających z TinyMCE.
Inne podatności w TinyMCE
Zobacz wszystkie- CVE-2026-47762Wysokie
TinyMCE to otwartoźródłowy edytor tekstu, który przed wersjami 5.11.1, 7.9.3 i 8.5.1 miał podatność na XSS typu stored poprzez sfałszowane komentarze mce:protected. Umożliwia to atakującym obejście sanitizacji i wstrzykiwanie skryptów, które są wykonywane po przywróceniu treści.
- CVE-2026-47759Wysokie
TinyMCE to otwartoźródłowy edytor tekstu, który przed wersjami 5.11.1, 7.9.3 i 8.5.1 miał podatność na XSS typu stored poprzez niesanitizowane atrybuty data-mce-*. Umożliwia to atakującym wstrzykiwanie złośliwych wartości, które mogą nadpisywać bezpieczne atrybuty podczas serializacji.
- CVE-2024-21911Średnie
Podatność na przechowywany atak XSS w edytorze TinyMCE przed wersją 5.6.0. Niezautoryzowany atakujący może wstrzyknąć spreparowany kod HTML do edytora, co prowadzi do wykonania dowolnego JavaScriptu w przeglądarce innego użytkownika.
- CVE-2024-21910Średnie
Podatność XSS w edytorze TinyMCE przed wersją 5.10.0 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez spreparowane adresy URL obrazów lub linków. Kod wykonuje się w przeglądarce użytkownika edytującego treść.
- CVE-2024-21908Średnie
Podatność na przechowywany atak XSS w edytorze TinyMCE przed wersją 5.9.0. Nieuwierzytelniony atakujący zdalnie może wstawić spreparowany kod HTML do edytora, co prowadzi do wykonania dowolnego JavaScriptu w przeglądarce innego użytkownika.
Oryginalny opis (angielski, źródło NVD)
TinyMCE is an open source rich text editor. From 6.8.0 to before 7.1.0, TinyMCE contains an XSS vulnerability caused by improper SVG namespace scope handling in the sanitizer. A crafted payload using nested elements can bypass attribute sanitization and execute arbitrary JavaScript. This vulnerability is fixed in 7.1.0.