CVE-2026-116675 [高] TinyMCEのメディアプラグインにおける、`data-mce-object`のシリアライゼーションを利用したクロスサイトスクリプティング（XSS）の脆弱性。

TinyMCEにおけるクロスサイトスクリプティング（XSS）の脆弱性：メディアプラグインの`data-mce-object`シリアライゼーション

### 影響
メディアプラグインに、保存型のXSS脆弱性があります。攻撃者は、`data-mce-object`属性を使用して作成された要素を介して、悪意のあるスクリプトを注入できます。これらの要素は、サニタイズ処理の前に作成および実行されます。影響を受けるのは、メディアプラグインを有効にしているTinyMCEのユーザーです。

### 修正
この脆弱性は、TinyMCE 8.9.3およびTinyMCE 7.9.4で修正されました。修正内容は、メディアプラグインを使用する場合、`data-mce-object`属性を介して作成されたコンテンツが、最初に適切にサニタイズされるようにしたものです。

### 対策
公式な回避策は提供されていません。

### 修正方法
この脆弱性を回避するには、次のいずれかの方法で対応してください。

* TinyMCEを8.9.3以降のバージョンにアップグレードする。
* TinyMCEを7.9.4以降のバージョンにアップグレードする。

### 謝辞
TinyMCEは、この脆弱性の特定にご協力いただいた[Fariskhi Vidyan](https://github.com/farisv)氏と、David Vieira Kurz氏（HiSolutions AG）に深く感謝します。

影響を受けるパッケージ：
- npm (JavaScript) tinymce: 影響を受けるバージョンは8.5.1以上、8.9.3未満。8.9.3で修正済み。
- nuget TinyMCE: 影響を受けるバージョンは8.5.1以上、8.9.3未満。8.9.3で修正済み。
- Composer (PHP) tinymce/tinymce: 影響を受けるバージョンは8.5.1以上、8.9.3未満。8.9.3で修正済み。
- npm (JavaScript) tinymce: 影響を受けるバージョンは7.9.3。7.9.4で修正済み。
- nuget TinyMCE: 影響を受けるバージョンは7.9.3。7.9.4で修正済み。
- Composer (PHP) tinymce/tinymce: 影響を受けるバージョンは7.9.3。7.9.4で修正済み。