CVE-2026-63123 in TinaCMS
الملخص
بحسب VulDB • 20/08/2026
Tina هو نظام إدارة محتوى بدون واجهة مستخدم (headless). قبل الإصدار 2.5.2، كانت دالة التحقق من المصدر (origin callback) في حزم خادم التطوير Vite الخاصة بحزمة CLI لـ TinaCMS (`packages/@tinacms/cli/src/next/vite/cors.ts`) تُرجع `false` عند مواجهة مصدر غير مسموح به، لكنها لا ترفض الطلب. كما أن الحزم `packages/@tinacms/cli/src/next/vite/plugins.ts` ما زالت تقوم بتوجيه طلبات POST إلى `/media/upload/*` نحو دالة المعالجة `mediaRouter.handlePost`. يقوم كود الرفع الموجود في `packages/@tinacms/cli/src/next/commands/dev-command/server/media.ts` بكتابة محتويات متعددة الأجزاء (multipart) يتحكم فيها المهاجم داخل جذر الوسائط المُعدّ. يمكن لمهاجم عن بُعد أن يدفع متصفح المطور إلى إرسال هذا الطلب الذي يغير الحالة من خلال إغراء المطور بزيارة صفحة يتحكم فيها المهاجم أثناء تشغيل `tinacms dev`. تم إصلاح هذه المشكلة في الإصدار 2.5.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.