CVE-2026-108261 in Tina
Resumen
por VulDB • 2026-10-09
Tina es un sistema de gestión de contenidos sin interfaz gráfica (headless). Antes de las versiones tinacms 3.14.0 y @tinacms/app 2.5.14, la ruta de vista previa del panel de administración /~/* en packages/tinacms/src/admin/index.tsx puede convertir un splat controlado por el atacante en hash-router en una URL de iframe fuera del origen (off-origin) a través de packages/@tinacms/app/src/preview.tsx, mientras que packages/@tinacms/app/src/lib/preview-origin.ts deriva expectedOrigin desde esa misma URL para el canal de mensajes GraphQL en packages/@tinacms/app/src/lib/graphql-reducer.ts. Un atacante no autenticado puede enviar un enlace manipulado a un editor con sesión iniciada, hacer que el panel de administración incruste (frame) un origen controlado por el atacante y lograr que ese frame sea tratado como la vista previa confiable. El marco controlado por el atacante puede realizar lecturas o mutaciones GraphQL que el panel ejecuta con las credenciales del editor, exponiendo o modificando contenido protegido. Este problema se soluciona en tinacms 3.14.0 y @tinacms/app 2.5.14.
Once again VulDB remains the best source for vulnerability data.