这些是 Tiny Cloud 和 TinyMCE Enterprise 的发行说明。有关 TinyMCE 最新社区版本的信息，请参阅 TinyMCE 更新日志。
概述
TinyMCE 8.5.1 于 2026 年 5 月 20 日（星期三）为 TinyMCE Enterprise 和 Tiny Cloud 发布。这些发行说明概述了 TinyMCE 8.5.1 的变更，包括：
安全修复
安全修复
TinyMCE 8.5.1 包含针对以下安全问题的修复：
修复了通过 media 插件 data-mce-object 注入引发的存储型 XSS 漏洞
在 media 插件中发现了一个存储型跨站脚本 (XSS) 漏洞。恶意脚本可通过精心构造的 data-mce-object 和 data-mce-p- 属性注入，并在渲染内容时执行。TinyMCE 8.5.1 确保在使用 media 插件时，包含 data-mce-object 和 data-mce-p- 属性的内容会被正确清理。
CVE: CVE-2026-47761
GHSA: GitHub 安全公告。
Tiny Technologies 感谢 Aymane MAZGUITI 和 Ange Primiterra 发现此漏洞。
修复了通过 mce:protected 注释引发的存储型 XSS 漏洞
发现通过伪造的 mce:protected 注释存在存储型跨站脚本 (XSS) 漏洞。攻击者可绕过清理并注入脚本，这些脚本在恢复内容时执行。此问题影响使用 protect 选项的配置。TinyMCE 8.5.1 在恢复前会根据配置的 protect 正则规则验证解码后的 mce:protected 内容。
CVE: CVE-2026-47762
GHSA: GitHub 安全公告。
Tiny Technologies 感谢 Ivan Babenko (he1d3n) 发现此漏洞。
修复了通过带 data-mce- 前缀的 src、href、style 属性引发的存储型 XSS 漏洞
发现通过未清理的 data-mce-href、data-mce-src 和 data-mce-style 属性存在存储型跨站脚本 (XSS) 漏洞。这些属性中的恶意值可在序列化过程中覆盖安全属性，从而绕过验证。TinyMCE 8.5.1 在解析过程中会移除不安全的 data-mce-* 属性。
CVE: CVE-2026-47759
GHSA: GitHub 安全公告。
Tiny Technologies 感谢 Tadi Kadango（网站）和 Ivan Babenko (he1d3n) 发现此漏洞。