CVE-2026-108261 in Tina
Sumário
de VulDB • 09/10/2026
O Tina é um sistema de gerenciamento de conteúdo headless. Antes das versões tinacms 3.14.0 e @tinacms/app 2.5.14, a rota de visualização administrativa /~/* em packages/tinacms/src/admin/index.tsx pode transformar uma splat do hash-router controlada pelo atacante em um URL de iframe off-origin através de packages/@tinacms/app/src/preview.tsx, enquanto packages/@tinacms/app/src/lib/preview-origin.ts deriva expectedOrigin a partir desse mesmo URL para o canal de mensagens GraphQL em packages/@tinacms/app/src/lib/graphql-reducer.ts. Um atacante não autenticado pode enviar um link manipulado para um editor conectado, fazer com que o ambiente administrativo enquadre uma origem controlada pelo atacante e tratar esse quadro como a visualização confiável. O frame controlado pelo atacante pode submeter leituras ou mutações GraphQL que o administrador executa com as credenciais do editor, expondo ou modificando conteúdo protegido. Este problema foi corrigido nas versões tinacms 3.14.0 e @tinacms/app 2.5.14.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.