ÉlevéeCVE-2026-116675
Vulnérabilité de type Cross-Site Scripting (XSS) dans TinyMCE utilisant le plugin media avec sérialisation `data-mce-object`
Conséquences sérieuses, souvent sous quelques conditions : à corriger rapidement.
- Sévérité
- Élevée8.5 / 10
- Publiée le
- 27. Oktober 2026
- Mise à jour
- 27. Oktober 2026
L'avis
Traduction automatique de l'avis officiel. En cas de doute, l'avis d'origine, plus bas, fait foi.
Impact
Vulnérabilité XSS stockée dans le plugin media. Les attaquants peuvent injecter des scripts malveillants via des éléments créés à travers l'attribut data-mce-object, qui sont créés et exécutés avant la sanitisation. Cela impacte les utilisateurs de TinyMCE avec le plugin media activé.
Patches
Cette vulnérabilité a été corrigée dans TinyMCE 8.9.3 et TinyMCE 7.9.4 en s'assurant que, lors de l'utilisation du plugin media, tout contenu créé via l'attribut data-mce-object est correctement sanitisé en premier.
Workarounds
Aucune solution de contournement officielle n'est disponible.
Fix
Pour éviter cette vulnérabilité :
Mettre à jour vers TinyMCE 8.9.3 ou version supérieure. Mettre à jour vers TinyMCE 7.9.4 ou version supérieure.
Acknowledgements
Tiny remercie Fariskhi Vidyan (neues Fenster) et David Vieira Kurz (HiSolutions AG) pour leur aide dans l'identification de cette vulnérabilité.
Composants touchés
| Composant | Versions touchées | Corrigé en |
|---|---|---|
| tinymceJavaScript (npm) | >= 8.5.1, < 8.9.3 | 8.9.3 |
| TinyMCE.NET (NuGet) | >= 8.5.1, < 8.9.3 | 8.9.3 |
| tinymce/tinymcePHP (Composer) | >= 8.5.1, < 8.9.3 | 8.9.3 |
| tinymceJavaScript (npm) | = 7.9.3 | 7.9.4 |
| TinyMCE.NET (NuGet) | = 7.9.3 | 7.9.4 |
| tinymce/tinymcePHP (Composer) | = 7.9.3 | 7.9.4 |
Vous utilisez une version touchée ? Passez à la version corrigée, puis redéployez.