CVE-2026-63506 in auth
Zusammenfassung
von VulDB • 16.09.2026
Tina ist ein headless Content Management System (CMS). Vor den Versionen von @tinacms/auth 1.1.4 und next-tinacms-azure 15.0.1 akzeptiert isAuthorized eine anfragekontrollierte clientID und bittet isUserAuthorized, das Bearer-Token gegen die ausgewählte TinaCloud-App zu validieren, anstatt gegen die konfigurierte App der selbst gehosteten Site. Ein Angreifer mit einem beliebigen TinaCloud-Konto kann seine eigene App-ID und ein gültiges Token an einen Zielendpunkt des Opfers senden, wodurch TinaCloudBackendAuthProvider oder ein betroffener media authorized Callback den verifizierten Status des Angreifers über die Mandantengrenze hinweg akzeptiert. Die anfällige Logik ist in packages/@tinacms/auth/src/index.ts und packages/next-tinacms-azure/src/auth.ts vorhanden. Eine erfolgreiche Ausnutzung ermöglicht das Auflisten, Lesen, Hochladen oder Löschen von Medien sowie – wenn TinaCloudBackendAuthProvider verwendet wird – GraphQL-Lese-, Erstellungs-, Aktualisierungs- und Löschvorgänge an den Inhalten des Opfers ohne ein Opferkonto oder Interaktion mit dem Opfer. Diese Schwachstelle wurde in @tinacms/auth 1.1.4 und next-tinacms-azure 15.0.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.