🇰🇷 한글 설명
TinyMCE는 오픈소스 리치 텍스트 에디터입니다. 7.9.3~7.9.4 및 8.5.1~8.9.3 버전에서 미디어 플러그인이 sanitization 이전의 활성 문서에서 data-mce-object를 통해 조작된 요소를 생성하며, 이 요소가 처리 과정에서 악성 스크립트를 실행할 수 있습니다. 이로 인해 미디어 플러그인이 활성화된 사용자에게 저장형 XSS가 발생할 수 있으며, 8.9.3 및 7.9.4 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트의 글 편집기(TinyMCE)에 있는 미디어 기능의 결함입니다. 공격자가 특수하게 만든 내용을 저장하면 다른 사용자가 그 내용을 볼 때 악성 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
TinyMCE is an open source rich text editor. From 7.9.3 until 7.9.4 and from 8.5.1 until 8.9.3, the media plugin creates elements crafted through data-mce-object in the active document before sanitization. Those elements can execute malicious scripts during processing, resulting in stored cross-site scripting for users with the media plugin enabled. This issue is fixed in versions 8.9.3 and 7.9.4.
📍 영향받는 시스템
TinyMCE 7.9.3~7.9.4 미만 및 8.5.1~8.9.3 미만 버전 중 미디어 플러그인을 사용하는 시스템
⚔️ 공격 벡터
미디어 플러그인이 활성화된 에디터에 data-mce-object 속성을 조작한 콘텐츠를 입력·저장하여 다른 사용자가 열람할 때 스크립트를 실행시킴
🛡️ 대응 방법
TinyMCE를 7.9.4 또는 8.9.3 이상으로 업그레이드하거나, 미디어 플러그인을 비활성화하고 서버 측 HTML 정화를 강화
🔧 검증 코드
출력된 버전이 7.9.4 이상(7.x 계열) 또는 8.9.3 이상(8.x 계열)이면 패치된 것이며, 그 미만이면 취약합니다.
npm ls tinymce 2>/dev/null | grep tinymce