TinyMCE: Gespeichertes Cross-Site Scripting im Media-Plugin

Zusammenfassung

TinyMCE, ein Open-Source-Rich-Text-Editor, enthält im Media-Plugin eine gespeicherte Cross-Site-Scripting-Schwachstelle. Manipulierte data-mce-object-Elemente werden vor der Bereinigung verarbeitet und können bösartige Skripte ausführen. Ein Angreifer, der Rich Text eingeben kann, den ein Opfer später anzeigt, etwa in einem CMS, Portal oder Ticketsystem, könnte Skripte im Browser des Opfers ausführen und möglicherweise Sitzungen oder Konten kompromittieren, insbesondere in Admin- oder Back-Office-Editoren. Die Schwachstelle betrifft nur Umgebungen, in denen das Media-Plugin aktiviert ist.

Betroffen

• TinyMCE 8.5.1 bis vor 8.9.3
• TinyMCE 7.9.3 bis vor 7.9.4
• Ob ältere Versionen betroffen sind, ist unbekannt.

Behoben in

• TinyMCE 8.9.3
• TinyMCE 7.9.4

Umgehung

• Keine vom Hersteller dokumentierte Massnahme. Das Update ist die Behebung.
• Ein Drittanbieter-Beitrag schlägt vor, das Media-Plugin zu deaktivieren, falls ein sofortiges Patchen nicht möglich ist. Dies ist keine offizielle Empfehlung des Herstellers.
• Eine serverseitige Bereinigung interner TinyMCE-Attribute vor dem Speichern von Benutzerinhalten ist nur eine zusätzliche Schutzebene und muss mit den Entwicklern validiert werden.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden. Ein Drittanbieter-Beitrag beschreibt die Ursache.

Unsere Empfehlung

• Alle TinyMCE-Instanzen inventarisieren, einschliesslich npm, NuGet, Packagist und gebündelter Kopien in CMS-Plugins.
• Auf 8.9.3 oder 7.9.4 aktualisieren und die laufende Version im Browser überprüfen.
• Internetseitige und administrative Editoren priorisieren.
• Falls nicht zeitnah gepatcht werden kann, das Media-Plugin nach Möglichkeit deaktivieren.
• Vor dem Einsatz von 7.9.4 für selbst gehostete Installationen die Verfügbarkeit in der npm-Registry prüfen; ein nicht verifizierter Bericht besagt, dass die Version nicht verfügbar ist.
• Regelmässige TinyMCE-Updates einplanen, da 2026 mehrere ähnliche Advisories veröffentlicht wurden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-mf2p-h6hf-fcwm github.com
• Fix commit bd1ab5ef github.com
• TinyMCE 8.9.3 release notes www.tiny.cloud
• TinyMCE 7.9.4 release notes www.tiny.cloud
• TinyMCE 8.9.3 GitHub release github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:57.