CVE-2026-63123 in TinaCMS
요약
\~에 의해 VulDB • 2026. 08. 20.
Tina는 헤드리스 콘텐츠 관리 시스템입니다. 버전 2.5.2 이전의 TinaCMS CLI 패키지에서, `packages/@tinacms/cli/src/next/vite/cors.ts`에 있는 Vite 개발 서버의 CORS origin 콜백은 허용되지 않은 origin에 대해 false를 반환하지만 요청을 거부하지 않으며, `packages/@tinacms/cli/src/next/vite/plugins.ts`는 여전히 POST /media/upload/* 경로를 mediaRouter.handlePost로 라우팅합니다. 또한 `packages/@tinacms/cli/src/next/commands/dev-command/server/media.ts`의 업로드 코드는 공격자가 제어하는 multipart 콘텐츠를 구성된 미디어 루트 내에 작성합니다. 원격 공격자는 tinacms dev가 실행 중인 동안 개발자를 공격자가 통제하는 페이지로 유도하여 해당 상태 변경 요청을 제출하도록 할 수 있습니다. 이 문제는 버전 2.5.2에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.