Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79

CVE-2026-116675

TinyMCE medya eklentisinde data-mce-object serileştirmesi nedeniyle siteler arası betik çalıştırma (XSS)

tinymce

Yüksek 8,5 CVSS 4.0
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, TinyMCE editörünü kullanan web uygulamalarında kullanıcı verilerinin ve oturumlarının ele geçirilmesine yol açabilir. Etkilenen sürümler kullanılan web sitelerinde ve içerik yönetim sistemlerinde yüksek risk oluşturur ve güncelleme yapılması önerilir.

ÖzetTürkçe

TinyMCE, açık kaynaklı zengin metin editörüdür. 7.9.3 ile 7.9.4 arasındaki ve 8.5.1 ile 8.9.3 arasındaki sürümlerde medya eklentisi, temizleme (sanitization) işleminden önce etkin belgede data-mce-object özniteliği ile hazırlanmış öğeler oluşturmaktadır. Bu öğeler işlenme sırasında kötü amaçlı betikleri çalıştırabilmekte ve medya eklentisi etkin olan kullanıcılar için kalıcı (stored) XSS açığına yol açmaktadır.

Saldırgan ne yapabilir?

Saldırgan, etkilenen kullanıcının tarayıcısında kendi betiklerini çalıştırabilir; bu da oturum bilgilerinin çalınmasına, kullanıcı adına işlem yapılmasına ve içeriğin değiştirilmesine olanak tanır.

Kaynaktaki açıklama (İngilizce)

TinyMCE is an open source rich text editor. From 7.9.3 until 7.9.4 and from 8.5.1 until 8.9.3, the media plugin creates elements crafted through data-mce-object in the active document before sanitization. Those elements can execute malicious scripts during processing, resulting in stored cross-site scripting for users with the media plugin enabled. This issue is fixed in versions 8.9.3 and 7.9.4.

Ne yapmalı?

  1. TinyMCE'yi 8.x dalında 8.9.3 veya 7.x dalında 7.9.4 sürümüne yükseltin. Genel öneri
  2. Medya eklentisini kullanmıyorsanız, güncelleme yapana kadar eklentiyi devre dışı bırakın. Genel öneri
  3. Güncelleme sonrasında uygulamanın TinyMCE sürümünü doğrulayın ve editör içeriklerinde şüpheli öğe olup olmadığını kontrol edin. Genel öneri

Ek önlemler

  • Kullanıcıların girdiği zengin metin içeriklerini görüntülemeden önce sunucu tarafında ek bir temizleme katmanı uygulayın. Genel öneri
  • Sayfalarda içerik güvenlik politikası (CSP) tanımlayarak satır içi betik çalıştırmayı kısıtlayın. Genel öneri
  • Kullanılan üçüncü taraf kütüphanelerin güvenlik duyurularını düzenli olarak takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
tinymce Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.