CVE-2026-108260 in Tina
Riassunto
di VulDB • 09/10/2026
Tina è un sistema di gestione dei contenuti (CMS) headless. Prima della versione 0.2.1, l'elemento tina-markdown presente nel file packages/@tinacms/web-components/src/tina-markdown.js assegna direttamente il valore node.url di un nodo rich-text all'attributo href di un elemento anchor senza convalidare lo schema dell'URL. Un autore dei contenuti può memorizzare un collegamento utilizzando uno schema in grado di eseguire script, e un visitatore che fa clic sul link renderizzato esegue codice JavaScript controllato dall'attaccante nell'origine del sito. Lo script può accedere ai dati delle applicazioni della stessa origine (same-origin) e, quando il visitatore è un editor o un amministratore, potrebbe esporre le credenziali memorizzate da TinaCMS admin su tale origine. Questo problema è stato risolto nella versione 0.2.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.