TinyMCE Cross-Site Scripting (XSS) vulnerability using sanitization bypass through nested SVGs

TRUNG BÌNH 5.4CVE-2026-47760 · GHSA-mh5m-5hw4-5c69 · Công bố 28/05/2026 · cập nhật 14/10/2026

Tóm tắt nhanh

CVE-2026-47760 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng TinyMCE, tinymce/tinymce, tinymce (tiny).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.19%, cao hơn 8.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 7.1.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
TinyMCE NuGet	`≥ 6.8.0, < 7.1.0`	`7.1.0`
tinymce/tinymce Packagist	`≥ 6.8.0, < 7.1.0`	`7.1.0`
tinymce tiny	`≥ 6.8.0, < 7.1.0`	`7.1.0`
tinymce npm	`≥ 6.8.0, < 7.1.0`	`7.1.0`

Mô tả

Impact

TinyMCE 6.8.x contains an XSS vulnerability caused by improper SVG namespace scope handling in the sanitizer. A crafted payload using nested <svg> elements can bypass attribute sanitization and execute arbitrary JavaScript.

Patches

This issue affects TinyMCE 6.8.x-7.0.x. The vulnerability is fixed in TinyMCE 7.1.0 and later.

Workarounds

No official workaround available.

Acknowledgements

Tiny thanks maple3142 (https://maple3142.net) of DEVCORE for their help identifying this vulnerability.

References

Fix introduced in TinyMCE 7.1.0 though a rewrite of code causing the vulnerability.

Mô tả của NVD

TinyMCE is an open source rich text editor. From 6.8.0 to before 7.1.0, TinyMCE contains an XSS vulnerability caused by improper SVG namespace scope handling in the sanitizer. A crafted payload using nested elements can bypass attribute sanitization and execute arbitrary JavaScript. This vulnerability is fixed in 7.1.0.