CVE-2026-108261 in Tina
요약
\~에 의해 VulDB • 2026. 10. 09.
Tina는 헤드리스 콘텐츠 관리 시스템입니다. tinacms 3.14.0 및 @tinacms/app 2.5.14 이전 버전에서는 packages/tinacms/src/admin/index.tsx의 /~/* 관리자 미리보기 라우트가 packages/@tinacms/app/src/preview.tsx를 통해 공격자가 제어하는 hash-router splat을 오프 오리진 iframe URL로 전환할 수 있습니다. 또한, packages/@tinacms/app/src/lib/preview-origin.ts는 GraphQL 메시지 채널(packages/@tinacms/app/src/lib/graphql-reducer.ts)에 대해 해당 동일한 URL에서 expectedOrigin을 파생합니다. 인증되지 않은 공격자는 서명된 편집자에게 조작된 링크를 보내 관리자가 공격자 오리진을 프레임으로 설정하도록 하고, 그 프레임을 신뢰할 수 있는 미리보기로 처리되도록 할 수 있습니다. 공격자가 제어하는 프레임은 편집자의 자격 증명으로 실행되는 GraphQL 읽기 또는 변경 작업을 제출하여 보호된 콘텐츠를 노출하거나 수정할 수 있습니다. 이 문제는 tinacms 3.14.0 및 @tinacms/app 2.5.14에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.