Foi descoberta uma vulnerabilidade de cross-site scripting (XSS) nas caixas de diálogo de alerta e confirmação quando estas recebiam conteúdo HTML malicioso. Isso pode ocorrer em plugins que utilizam as caixas de diálogo de alerta ou confirmação, como no plugin `image`, que exibe essas caixas de diálogo quando ocorrem determinados erros. A vulnerabilidade permitia a execução arbitrária de JavaScript quando um alerta era exibido na interface do usuário do TinyMCE para o usuário atual.