CVE-2026-108260 in Tina
Zusammenfassung
von VulDB • 09.10.2026
Tina è un sistema di gestione dei contenuti headless (headless CMS). Prima della versione 0.2.1, l'elemento tina-markdown nel file packages/@tinacms/web-components/src/tina-markdown.js assegna direttamente il valore node.url di un nodo rich-text all'attributo href di un elemento anchor senza convalidare lo schema dell'URL. Un autore dei contenuti può memorizzare un collegamento utilizzando uno schema abilitato per gli script, e un visitatore che fa clic sul link renderizzato esegue codice JavaScript controllato dall'attaccante nell'origine del sito. Lo script può accedere ai dati delle applicazioni della stessa origine (same-origin) e, quando il visitatore è un editor o un amministratore, potrebbe esporre le credenziali memorizzate dall'amministratore di TinaCMS su tale origine. Questo problema è stato risolto nella versione 0.2.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.