В TinyMCE нашли stored XSS в плагине media с рейтингом 8,5

В TinyMCE 7.9.3 и 8.5.1–8.9.2 обнаружена уязвимость CVE-2026-116675 (CVSS 8.5): плагин media создаёт DOM-элементы до санитизации, что позволяет выполнить JavaScript через атрибуты data-mce-p-onerror. Исправлено в версиях 7.9.4 и 8.9.3, есть публичный PoC.

• Уязвимость затрагивает TinyMCE 7.9.3 и 8.5.1–8.9.2, CVSS 8.5
• Эксплойт использует data-mce-object и data-mce-p-onerror
• Исправление вышло в 7.9.4 и 8.9.3, опубликован PoC
• Альтернатива — отключить плагин media или включить строгий CSP