TinyMCE CVE-2026-116675：7.9.3~7.9.4 與 8.5.1~8.9.3 版儲存 XSS 漏洞已修復

TinyMCE 是一個開源的富文本編輯器。從 7.9.3 到 7.9.4，以及從 8.5.1 到 8.9.3，媒體外掛會在清理前於活動檔案中以 data-mce-object 建立元素。這些元素在處理過程中可執行惡意指令碼，導致啟用媒體外掛的使用者出現儲存型跨站指令碼漏洞。此問題已在 8.9.3 和 7.9.4 版本中修復。

影響

受影響產品

以下產品受到 CVE-2026-116675 漏洞的影響。即使 cvefeed.io 知道受影響產品的確切版本，資訊仍未在下表中呈現。

ID	Vendor	Product	Action
1	Tiny	tinymce

常見漏洞評分系統（Common Vulnerability Scoring System）是一個標準化框架，用於評估軟體和系統漏洞的嚴重程度。我們收集並顯示各來源的 CVSS 分數，針對每個 CVE。

Score	Version	Severity	Vector	Exploitability Score	Impact Score	Source
	CVSS 4.0	高				[email protected]

更新 TinyMCE 至已修補的版本以修正儲存型跨站指令碼漏洞。

更新 TinyMCE 至 8.9.3 版或更高版本。
更新 TinyMCE 至 7.9.4 版或更高版本。

此處提供一份精選的外部連結清單，提供深入資訊、實用解決方案以及與 CVE-2026-116675 相關的有價值工具。

URL	Resource
https://github.com/tinymce/tinymce/commit/bd1ab5ef024c648c3f9c0b409e54a6c227c7d8a2
https://github.com/tinymce/tinymce/releases/tag/8.9.3
https://github.com/tinymce/tinymce/security/advisories/GHSA-mf2p-h6hf-fcwm
https://www.tiny.cloud/docs/tinymce/7/7.9.4-release-notes/#overview
https://www.tiny.cloud/docs/tinymce/latest/8.9.3-release-notes/#overview

CVE 針對漏洞的具體例項，而 CWE 則分類可能導致漏洞的常見缺陷或弱點。CVE-2026-116675 與以下 CWE 相關：

Common Attack Pattern Enumeration and Classification（CAPEC）儲存攻擊模式，描述對手為利用 CVE-2026-116675 弱點所採用的共通特徵與方法。

我們掃描 GitHub 倉庫以偵測新的概念驗證（Proof‑of‑Concept）攻擊。以下清單為已在 GitHub 發布的公開攻擊與概念驗證，依最近更新時間排序。

結果僅限於前 15 個儲存庫，因潛在的效能問題。

以下列表為在文章中提及 CVE-2026-116675 漏洞的新聞。

以下表格列出了隨時間變更的 CVE-2026-116675 漏洞。

漏洞歷史細節對於瞭解漏洞的演變、以及辨識可能影響漏洞嚴重性、可利用性或其他特徵的最新變更非常有用。

新 CVE 已收到由 [email protected]

十月. 27, 2026

動作	型別	新值
新增	說明	TinyMCE 是一款開源的富文字編輯器。從 7.9.3 到 7.9.4，以及從 8.5.1 到 8.9.3，媒體外掛在清理前會在活動檔案中建立由 data-mce-object 構造的元素。這些元素在處理過程中可能執行惡意指令碼，導致啟用媒體外掛的使用者遭受儲存型跨站指令碼攻擊。此問題已在 8.9.3 和 7.9.4 版本修復。
新增	CVSS V4.0	AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
新增	CWE	CWE-79
新增	受影響	收到新的受影響值。 <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/116xxx/CVE-2026-116675.json">CVE-2026-116675</a>
新增	參考	https://github.com/tinymce/tinymce/commit/bd1ab5ef024c648c3f9c0b409e54a6c227c7d8a2
新增	參考	https://github.com/tinymce/tinymce/releases/tag/8.9.3
新增	參考	https://github.com/tinymce/tinymce/security/advisories/GHSA-mf2p-h6hf-fcwm
新增	參考	https://www.tiny.cloud/docs/tinymce/7/7.9.4-release-notes/#overview
新增	參考	https://www.tiny.cloud/docs/tinymce/latest/8.9.3-release-notes/#overview

EPSS 是對未來 30 天內可被觀測到的利用活動機率的每日估算被觀測到的機率。以下圖表顯示 EPSS 分數歷史。

TinyMCE CVE-2026-116675：7.9.3~7.9.4 與 8.5.1~8.9.3 版儲存 XSS 漏洞已修復

受影響產品

新 CVE 已收到 由 [email protected]

新 CVE 已收到由 [email protected]