CVE-2026-47760
CVE-2026-47760 · TinyMCE Cross-Site Scripting (XSS) vulnerability using sanitization bypass through nested SVGs
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
TinyMCE is an open source rich text editor. From 6.8.0 to before 7.1.0, TinyMCE contains an XSS vulnerability caused by improper SVG namespace scope handling in the sanitizer. A crafted payload using nested elements can bypass attribute sanitization and execute arbitrary JavaScript. This vulnerability is fixed in 7.1.0.
CVSS 8.7 · Élevée · EPSS 0,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · php · node
Produits et versions concernés
tinymce
- Versions du logiciel
- >= 6.0.0, < 7.1.0: Concernée
Aucun correctif publié
tinymce npm
- Plages de versions concernées
- SEMVER: ≥ 6.8.0, < 7.1.0
Mettez à jour vers 7.1.0
tinymce NuGet
- Versions du logiciel
- 6.8.0
- 6.8.1
- 6.8.2
- 6.8.3
- 6.8.4
- 6.8.5
- 6.8.6
- 7.0.0
- 7.0.1
- Plages de versions concernées
- ECOSYSTEM: ≥ 6.8.0, < 7.1.0
Mettez à jour vers 7.1.0
tinymce/tinymce Packagist
- Versions du logiciel
- 6.8.0
- 6.8.1
- 6.8.2
- 6.8.3
- 6.8.4
- 6.8.5
- 6.8.6
- 7.0.0
- 7.0.1
- Plages de versions concernées
- ECOSYSTEM: ≥ 6.8.0, < 7.1.0
Mettez à jour vers 7.1.0
tinymce Ubuntu:16.04:LTS
- Versions du logiciel
- 3.4.8+dfsg0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tinymce Ubuntu:18.04:LTS
- Versions du logiciel
- 3.4.8+dfsg0-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
tinymce Ubuntu:20.04:LTS
- Versions du logiciel
- 3.4.8+dfsg0-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié