Vulnerabilidad en el editor HTML WYSIWYG de TinyMCE
Esta vulnerabilidad sobre la versión 5.2.1 de TinyMCE afecta aproximadamente a 100 millones de sitios web construidos con el editor de texto HTML de la marca.
Con CVE-2020-12648 ha sido reportada por Chris Davis y George Steketee (Bishop Fox Labs).
La vulnerabilidad es por la falta de protección contra ataques de scripts entre sitios (XSS), los hackers pueden eludir algunas protecciones para desplegar un ataque XSS y ejecutar código JavaScript arbitrario, permitiendo la extracción de información confidencial, ataques de escalada de privilegios, compromiso de cuentas de administrador, entre otros riesgos.
Esta vulnerabilidad se ha corregido en TinyMCE 4.9.11 y 5.4.1 mediante una lógica mejorada de análisis y desinfección de HTML.
Fuentes:
https://www.abeautifulsite.net/forcing-paste-as-plain-text-in-tinymce