注目★★★★★GitHub Advisory
TinyMCE メディアプラグインに Stored XSS 脆弱性、v8.5.1/7.9.3/5.11.1 で修正
要約
TinyMCE のメディアプラグインに Stored XSS 脆弱性（CVE-2026-47761）が確認された。攻撃者は細工した `data-mce-*` 属性を通じて悪意あるスクリプトを埋め込み、コンテンツ表示時に実行させることができる。修正済みバージョンは TinyMCE 8.5.1、7.9.3、5.11.1 LTS で、対象属性のサニタイズ処理が強化された。公式なワークアラウンドは存在しないため、バージョンアップが唯一の対策となる。
あなたへの影響
メディアプラグインを有効にして TinyMCE を利用しているプロジェクトは影響を受ける可能性がある。
推奨：公式ワークアラウンドがないため、各対応バージョンへのアップグレードを次のリリースサイクルで対応しておきたい。