CVE-2026-63506 in auth
Riassunto
di VulDB • 16/09/2026
Tina è un sistema di gestione dei contenuti headless. Prima delle versioni @tinacms/auth 1.1.4 e next-tinacms-azure 15.0.1, la funzione isAuthorized accetta un clientID controllato dalla richiesta e richiede a isUserAuthorized di convalidare il token bearer rispetto all'app TinaCloud selezionata anziché l'app configurata per il sito self-hosted. Un attaccante dotato di qualsiasi account TinaCloud può inviare l'ID della propria app e un token valido a un endpoint vittima, facendo sì che TinaCloudBackendAuthProvider o una callback autorizzata dei media interessate accettino lo stato verificato dell'attaccante oltre i confini del tenant. La logica vulnerabile è presente nei pacchetti @tinacms/auth/src/index.ts e packages/next-tinacms-azure/src/auth.ts. L'esecuzione riuscita di exploit consente l'elenco, la lettura, il caricamento o l'eliminazione dei media e, quando viene utilizzato TinaCloudBackendAuthProvider, operazioni GraphQL di lettura, creazione, aggiornamento ed eliminazione sui contenuti della vittima senza un account della vittima né interazione da parte sua. Questa vulnerabilità è risolta in @tinacms/auth 1.1.4 e next-tinacms-azure 15.0.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.