Mittel

Cross-site scripting vulnerability in TinyMCE

Veröffentlicht: 06.01.2021
Aktualisiert: 11.10.2026 11:23

Impact

A cross-site scripting (XSS) vulnerability was discovered in the URL sanitization logic of the core parser. The vulnerability allowed arbitrary JavaScript execution when inserting a specially crafted piece of content into the editor using the clipboard or APIs. This impacts all users who are using TinyMCE 5.5.1 or lower.

Patches

This vulnerability has been patched in TinyMCE 5.6.0 by improved URL sanitization logic.

Workarounds

To work around this vulnerability, either:

Upgrade to TinyMCE 5.6.0 or higher
Manually sanitize iframe, object and embed URL attributes using a TinyMCE node filter.
Disable iframe, object, and embed elements in your content using the invalid_elements setting.

Example: Sanitizing using a node filter

editor.parser.addNodeFilter('iframe,object,embed', function(nodes) {
  nodes.forEach(function(node) {
    if (node.attributes) {
      node.attributes.forEach(function(attr) {
        var name = attr.name;
        var value = attr.value;
        // Sanitize the attribute value here or remove it entirely
        var sanitizedValue = ...;
        node.attr(name, santizedValue);
      });
    }
  });
});

Example: Using invalid_elements

invalid_elements: 'iframe,object,embed'

Acknowledgements

Tiny Technologies would like to thank Aaron Bishop at SecurityMetrics for discovering this vulnerability.

References

https://www.tiny.cloud/docs/release-notes/release-notes56/#securityfixes

For more information

If you have any questions or comments about this advisory:

Open an issue in the TinyMCE repo
Email us at infosec@tiny.cloud

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	tinymce/tinymce	< 5.6.0	5.6.0
npm-Paket	tinymce	< 5.6.0	5.6.0
.NET (NuGet)	TinyMCE	< 5.6.0	5.6.0

Verweise

CVSS-Wert -

Schwäche (CWE): CWE-79
Plattform: Composer, npm, .NET (NuGet)
Paket: tinymce/tinymce, tinymce, TinyMCE
Veröffentlicht: 06.01.2021
Aktualisiert: 11.10.2026 11:23

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-w7jx-j77m-wp65 - CC BY 4.0

Schwachstellenhistorie: TinyMCE

Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (15) im Archiv

Einträge insgesamt: 15
Erste → letzte: 01.2021 06.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 4
Mittel 11

Veröffentlichungen pro Jahr

2021: 3
2022: 1
2023: 3
2024: 4
2025: 0
2026: 4

05.06.2026

TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` injection

Hoch · 8.7 CVE-2026-47761 <= 5.10.9, >= 6.0.0, < 7.9.3, >= 8.0.0, < 8.5.1 7.9.3, 8.5.1
05.06.2026

TinyMCE Cross-Site Scripting (XSS) vulnerability through `mce:protected` comments

Hoch · 8.7 CVE-2026-47762 <= 5.10.9, >= 6.0.0, < 7.9.3, >= 8.0.0, < 8.5.1 7.9.3, 8.5.1
05.06.2026

TinyMCE Cross-Site Scripting (XSS) vulnerability using through data-mce- prefixed src, href, style attributes

Hoch · 8.7 CVE-2026-47759 <= 5.10.9, >= 6.0.0, < 7.9.3, >= 8.0.0, < 8.5.1 7.9.3, 8.5.1
05.06.2026

TinyMCE Cross-Site Scripting (XSS) vulnerability using sanitization bypass through nested SVGs

Hoch · 8.7 CVE-2026-47760 >= 6.8.0, < 7.1.0 7.1.0
06.01.2021

Cross-site scripting vulnerability in TinyMCE dieser Eintrag

Mittel CVE-2024-21911 < 5.6.0 5.6.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden