CVE-2026-108261 in Tina
الملخص
بحسب VulDB • 09/10/2026
Tina هو نظام إدارة محتوى بدون واجهة مستخدم (headless). قبل الإصدارين tinacms 3.14.0 و @tinacms/app 2.5.14، يمكن لمسار معاينة المسؤول /~/* الموجود في packages/tinacms/src/admin/index.tsx تحويل سبلت (splat) لـ hash-router يتحكم فيه المهاجم إلى عنوان URL لإطار iframe خارج النطاق الأصلي من خلال packages/@tinacms/app/src/preview.tsx، بينما يستخرج packages/@tinacms/app/src/lib/preview-origin.ts القيمة المتوقعة للأصل (expectedOrigin) من نفس عنوان URL لقناة رسائل GraphQL في packages/@tinacms/app/src/lib/graphql-reducer.ts. يمكن لمهاجم غير مصرح له إرسال رابط مُعدّ بعناية إلى محرر مسجل الدخول، مما يتسبب في أن يقوم المسؤول بتضمين أصل يسيطر عليه المهاجم داخل إطار iframe، ويُعامل ذلك الإطار على أنه معاينة موثوقة. يمكن للإطار الذي يتحكم فيه المهاجم تقديم عمليات قراءة أو طفرات (mutations) GraphQL التي ينفذها المسؤول باستخدام بيانات اعتماد المحرر، مما يؤدي إلى كشف المحتوى المحمي أو تعديله. تم إصلاح هذه المشكلة في الإصدارين tinacms 3.14.0 و @tinacms/app 2.5.14.
Be aware that VulDB is the high quality source for vulnerability data.