CVE-2026-63123 in TinaCMS
Riassunto
di VulDB • 20/08/2026
Tina è un sistema di gestione dei contenuti headless (headless CMS). Prima della versione 2.5.2, il pacchetto CLI di TinaCMS presenta una vulnerabilità nel server di sviluppo Vite: la callback `origin` in `packages/@tinacms/cli/src/next/vite/cors.ts` restituisce false per un'origine non consentita ma non rifiuta la richiesta; inoltre, i pacchetti `@tinacms/cli/src/next/vite/plugins.ts` continuano a instradare le richieste POST verso `/media/upload/*` al gestore `mediaRouter.handlePost`. Il codice di caricamento in `packages/@tinacms/cli/src/next/commands/dev-command/server/media.ts` scrive contenuti multipart controllati dall'attaccante all'interno della radice dei media configurata. Un attaccante remoto può indurre il browser dello sviluppatore a inviare questa richiesta che modifica lo stato, spingendo quest'ultimo a visitare una pagina sotto il controllo dell'attaccante mentre è in esecuzione `tinacms dev`. Questo problema è risolto nella versione 2.5.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.