Уязвимости TinyMCETinyMCE: известные уязвимости и безопасные версии

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

Даты поддержки показаны только для библиотек, которые отслеживает endoflife.date.

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

• CVE-2026-477622026-05-28

  TinyMCE Cross-Site Scripting (XSS) vulnerability through `mce:protected` comments

  Затронутые версии: <= 5.10.9 · >= 6.0.0, < 7.9.3 · >= 8.0.0, < 8.5.1 · < 5.10.10

  средняя 5.4

  Исправлено в: 5.10.10, 7.9.3, 8.5.1

• CVE-2026-47761есть код эксплойта2026-05-28

  TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` injection

  Затронутые версии: <= 5.10.9 · >= 6.0.0, < 7.9.3 · >= 8.0.0, < 8.5.1 · < 5.10.10

  средняя 5.4

  Исправлено в: 5.10.10, 7.9.3, 8.5.1

• CVE-2026-477602026-05-28

  TinyMCE Cross-Site Scripting (XSS) vulnerability using sanitization bypass through nested SVGs

  Затронутые версии: >= 6.8.0, < 7.1.0

  средняя 5.4

  Исправлено в: 7.1.0

• CVE-2026-477592026-05-28

  TinyMCE Cross-Site Scripting (XSS) vulnerability using through data-mce- prefixed src, href, style attributes

  Затронутые версии: <= 5.10.9 · >= 6.0.0, < 7.9.3 · >= 8.0.0, < 8.5.1 · < 5.10.10

  средняя 5.4

  Исправлено в: 5.10.10, 7.9.3, 8.5.1

• CVE-2024-383572024-06-19

  TinyMCE Cross-Site Scripting (XSS) vulnerability using noscript elements

  Затронутые версии: < 5.11.0 · >= 6.0.0, < 6.8.4 · >= 7.0.0, < 7.2.0

  средняя 6.1

  Исправлено в: 5.11.0, 6.8.4, 7.2.0

• CVE-2024-383562024-06-19

  TinyMCE Cross-Site Scripting (XSS) vulnerability using noneditable_regexp option

  Затронутые версии: < 5.11.0 · >= 6.0.0, < 6.8.4 · >= 7.0.0, < 7.2.0

  средняя 6.1

  Исправлено в: 5.11.0, 6.8.4, 7.2.0

• CVE-2024-298812024-03-26

  TinyMCE Cross-Site Scripting (XSS) vulnerability in handling external SVG files through Object or Embed elements

  Затронутые версии: < 7.0.0

  средняя 6.1

  Исправлено в: 7.0.0

• CVE-2024-292032024-03-26

  TinyMCE Cross-Site Scripting (XSS) vulnerability in handling iframes

  Затронутые версии: < 6.8.1

  средняя 6.1

  Исправлено в: 6.8.1

• CVE-2024-219112024-01-03

  Cross-site scripting vulnerability in TinyMCE

  Затронутые версии: < 5.6.0

  средняя 6.1

  Исправлено в: 5.6.0

  EPSS 1,1%

• CVE-2024-219102024-01-03

  Cross-site scripting vulnerability in TinyMCE plugins

  Затронутые версии: < 5.10.0

  средняя 6.1

  Исправлено в: 5.10.0

• CVE-2024-219082024-01-03

  Cross-site scripting vulnerability in TinyMCE

  Затронутые версии: < 5.9.0

  средняя 6.1

  Исправлено в: 5.9.0

  EPSS 1%

• CVE-2023-482192023-11-15

  Special characters in unescaped text nodes can trigger mXSS in TinyMCE

  Затронутые версии: < 5.10.9 · >= 6.0.0, < 6.7.3

  средняя 6.1

  Исправлено в: 5.10.9, 6.7.3

• CVE-2023-458192023-10-19

  Cross-site Scripting vulnerability in TinyMCE notificationManager.open API

  Затронутые версии: >= 6.0.0, < 6.7.1 · < 5.10.8

  средняя 6.1

  Исправлено в: 5.10.8, 6.7.1

• CVE-2023-458182023-10-19

  Cross-site Scripting vulnerability in TinyMCE undo/redo, getContent API, resetContent API, and Autosave plugin

  Затронутые версии: >= 6.0.0, < 6.7.1 · < 5.10.8

  средняя 6.1

  Исправлено в: 5.10.8, 6.7.1

• CVE-2022-234942022-12-08

  Cross-site scripting vulnerability in TinyMCE alerts

  Затронутые версии: >= 6.0.0, < 6.3.1 · < 5.10.7

  средняя 6.1

  Исправлено в: 5.10.7, 6.3.1

  EPSS 1%

• GHSA-5vm8-hhgr-jcjp2021-05-28

  Cross-site scripting vulnerability in TinyMCE

  Затронутые версии: < 5.7.1

  средняя

  Исправлено в: 5.7.1

• GHSA-h96f-fc7c-9r552021-01-06

  Regex denial of service vulnerability in codesample plugin

  Затронутые версии: < 5.6.0

  низкая

  Исправлено в: 5.6.0

• CVE-2020-126482020-08-14

  A cross-site scripting (XSS) vulnerability in TinyMCE 5.2.1 and earlier allows remote attackers to inject arbitrary web script when configur

  Затронутые версии: < 4.9.11 · >= 5.0.0, < 5.4.1

  средняя 6.1

  Исправлено в: 4.9.11, 5.4.1

  EPSS 1,8%

• CVE-2020-174802020-08-10

  TinyMCE before 4.9.7 and 5.x before 5.1.4 allows XSS in the core parser, the paste plugin, and the visualchars plugin by using the clipboard

  Затронутые версии: < 4.9.7 · >= 5.0.0, < 5.1.4

  средняя 6.1

  Исправлено в: 4.9.7, 5.1.4

  EPSS 1,2%

• CVE-2019-10100912019-07-17

  tinymce 4.7.11, 4.7.12 is affected by: CWE-79: Improper Neutralization of Input During Web Page Generation.

  Затронутые версии: < 4.9.10 · >= 5.0.0, < 5.2.2

  средняя 6.1

  Исправлено в: 4.9.10, 5.2.2

  EPSS 1,9%

• CVE-2011-4825есть боевой эксплойт2011-12-14

  Static code injection vulnerability in inc/function.base.php in Ajax File and Image Manager before 1.1, as used in tinymce before 1.4.2, php

  Затронутые версии: < 1.4.2

  высокая 7.5

  Исправлено в: 1.4.2

  EPSS 39,1%

• без CVE

  content in an iframe element parsing as DOM elements instead of text content.

  Затронутые версии: < 5.4.0

  низкая

  Исправлено в: 5.4.0

• без CVE

  media embed content not processing safely in some cases.

  Затронутые версии: < 5.2.2

  низкая

  Исправлено в: 5.2.2

• без CVE

  CDATA parsing and sanitization has been improved to address a cross-site scripting (XSS) vulnerability.

  Затронутые версии: < 5.1.6

  средняя

  Исправлено в: 5.1.6

• без CVE

  FIXED so links with xlink:href attributes are filtered correctly to prevent XSS.

  Затронутые версии: < 4.7.12

  средняя

  Исправлено в: 4.7.12

• без CVE

  xss issues with media plugin not properly filtering out some script attributes.

  Затронутые версии: < 4.2.4

  средняя

  Исправлено в: 4.2.4

• без CVE

  FIXED so script elements gets removed by default to prevent possible XSS issues in default config implementations

  Затронутые версии: < 4.2.0

  средняя

  Исправлено в: 4.2.0