这是 Tiny Cloud 和 TinyMCE Enterprise 的发布说明。如需了解 TinyMCE 最新社区版本的信息，请参阅TinyMCE 更新日志。
概述
TinyMCE 8.5.1 于 2026 年 5 月 20 日（星期三）发布，适用于 TinyMCE Enterprise 和 Tiny Cloud。本发布说明概述了 TinyMCE 8.5.1 的变更内容，包括：
安全修复
安全修复
TinyMCE 8.5.1 包含针对以下安全问题的修复：
修复了通过 media 插件 data-mce-object 注入引发的存储型 XSS 漏洞
在 media 插件中发现了一个存储型跨站脚本（XSS）漏洞。恶意脚本可通过精心构造的 data-mce-object 和 data-mce-p- 属性注入，并在内容渲染时执行。TinyMCE 8.5.1 确保在使用 media 插件时，包含 data-mce-object 和 data-mce-p- 属性的内容会被正确清理。
CVE：CVE-2026-47761
GHSA：GitHub 安全公告。
Tiny Technologies 感谢 Aymane MAZGUITI 和 Ange Primiterra 发现此漏洞。
修复了通过 mce:protected 注释引发的存储型 XSS 漏洞
发现通过伪造的 mce:protected 注释存在存储型跨站脚本（XSS）漏洞。攻击者可绕过清理并注入脚本，这些脚本会在内容恢复时执行。此问题影响使用 protect 选项的配置。TinyMCE 8.5.1 会在恢复前根据配置的 protect 正则规则验证解码后的 mce:protected 内容。
CVE：CVE-2026-47762
GHSA：GitHub 安全公告。
Tiny Technologies 感谢 Ivan Babenko (he1d3n) 发现此漏洞。
修复了通过带 data-mce- 前缀的 src、href、style 属性引发的存储型 XSS 漏洞
发现通过未清理的 data-mce-href、data-mce-src 和 data-mce-style 属性存在存储型跨站脚本（XSS）漏洞。这些属性中的恶意值可能会在序列化过程中覆盖安全属性，从而绕过验证。TinyMCE 8.5.1 会在解析过程中去除不安全的 data-mce-* 属性。
CVE：CVE-2026-47759
GHSA：GitHub 安全公告。
Tiny Technologies 感谢 Tadi Kadango（个人网站）和 Ivan Babenko (he1d3n) 发现此漏洞。