CVE-2026-108261 in Tina
要約
〜によって VulDB • 2026年10月09日
Tinaはヘッドレスコンテンツマネジメントシステムです。tinacms 3.14.0および@tinacms/app 2.5.14より前では、packages/tinacms/src/admin/index.tsx内の/~/* admin previewルートが、攻撃者が制御するhash-routerのsplatをpackages/@tinacms/app/src/preview.tsxを通じてorigin外のiframe URLに変換でき、さらにpackages/@tinacms/app/src/lib/preview-origin.tsはGraphQLメッセージチャネル（packages/@tinacms/app/src/lib/graphql-reducer.ts内）のためにその同じURLからexpectedOriginを取得します。認証されていない攻撃者は、ログイン済みのエディタに対して作成されたリンクを送信し、管理画面が攻撃者のoriginをフレーム化させることで、そのフレームが信頼されるプレビューとして扱われるようにできます。攻撃者が制御するフレームは、管理者がエディタの資格情報で実行するGraphQL読み取りまたはミューテーションを送信でき、保護されたコンテンツの開示や改ざんを引き起こします。この問題はtinacms 3.14.0および@tinacms/app 2.5.14で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.