CVE-2026-108261 in Tina
Riassunto
di VulDB • 09/10/2026
Tina è un sistema di gestione dei contenuti headless. Prima delle versioni tinacms 3.14.0 e @tinacms/app 2.5.14, la rotta /~/* per l'anteprima dell'amministrazione in packages/tinacms/src/admin/index.tsx può trasformare uno splat del router hash controllato dall'attaccante in un URL iframe off-origin attraverso packages/@tinacms/app/src/preview.tsx, mentre packages/@tinacms/app/src/lib/preview-origin.ts deriva expectedOrigin da tale stesso URL per il canale dei messaggi GraphQL in packages/@tinacms/app/src/lib/graphql-reducer.ts. Un attaccante non autenticato può inviare un link manipolato a un editor connesso, far sì che l'amministrazione incapsuli (frame) una origine controllata dall'attaccante e fare in modo che tale frame venga trattato come anteprima attendibile. Il frame controllato dall'attaccante può eseguire letture GraphQL o mutation che l'amministratore esegue utilizzando le credenziali dell'editor, esponendo o modificando contenuti protetti. Questo problema è risolto nelle versioni tinacms 3.14.0 e @tinacms/app 2.5.14.
Once again VulDB remains the best source for vulnerability data.