p PatchFirst

CVE-2026-116675

CVE-2026-116675 · TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` serialization

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

TinyMCE is an open source rich text editor. From 7.9.3 until 7.9.4 and from 8.5.1 until 8.9.3, the media plugin creates elements crafted through data-mce-object in the active document before sanitization. Those elements can execute malicious scripts during processing, resulting in stored cross-site scripting for users with the media plugin enabled. This issue is fixed in versions 8.9.3 and 7.9.4.

CVSS 8.5 · Élevée · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · php · node

Produits et versions concernés

  • tinymce

    Versions du logiciel
    • >= 8.5.1, < 8.9.3: Concernée
    • >= 7.9.3, < 7.9.4: Concernée

    Aucun correctif publié

  • tinymce npm

    Plages de versions concernées
    • SEMVER: ≥ 8.5.1, < 8.9.3

    Mettez à jour vers 8.9.3

  • tinymce NuGet

    Versions du logiciel
    • 8.5.1
    • 8.6.0
    • 8.7.0
    • 8.8.0
    • 8.8.1
    • 8.8.2
    • 8.9.0
    • 8.9.1
    • 8.9.2
    Plages de versions concernées
    • ECOSYSTEM: ≥ 8.5.1, < 8.9.3

    Mettez à jour vers 8.9.3

  • tinymce/tinymce Packagist

    Versions du logiciel
    • 8.5.1
    • 8.6.0
    • 8.7.0
    • 8.8.0
    • 8.8.1
    • 8.8.2
    • 8.9.0
    • 8.9.1
    • 8.9.2
    Plages de versions concernées
    • ECOSYSTEM: ≥ 8.5.1, < 8.9.3

    Mettez à jour vers 8.9.3

  • tinymce npm

    Versions du logiciel
    • 7.9.3
    Plages de versions concernées
    • SEMVER: ≥ 7.9.3, < 7.9.4

    Mettez à jour vers 7.9.4

  • tinymce NuGet

    Versions du logiciel
    • 7.9.3
    Plages de versions concernées
    • ECOSYSTEM: ≥ 7.9.3, < 7.9.4

    Mettez à jour vers 7.9.4

  • tinymce/tinymce Packagist

    Versions du logiciel
    • 7.9.3
    Plages de versions concernées
    • ECOSYSTEM: ≥ 7.9.3, < 7.9.4

    Mettez à jour vers 7.9.4

  • tinymce Ubuntu:16.04:LTS

    Versions du logiciel
    • 3.4.8+dfsg0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • tinymce Ubuntu:18.04:LTS

    Versions du logiciel
    • 3.4.8+dfsg0-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • tinymce Ubuntu:20.04:LTS

    Versions du logiciel
    • 3.4.8+dfsg0-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →