CVE-2026-63123 in TinaCMS
Сводка
по VulDB • 20.08.2026
Tina — это headless-система управления контентом (CMS). До версии 2.5.2 в пакете CLI TinaCMS сервер разработки Vite, а именно файл `packages/@tinacms/cli/src/next/vite/cors.ts`, возвращает значение false для недопустимого источника (origin), но не отклоняет запрос; кроме того, пакет `packages/@tinacms/cli/src/next/vite/plugins.ts` продолжает маршрутизировать POST-запросы к `/media/upload/*` на обработчик `mediaRouter.handlePost`. Код загрузки в файле `packages/@tinacms/cli/src/next/commands/dev-command/server/media.ts` записывает содержимое multipart, контролируемое злоумышленником, внутрь настроенной корневой директории медиафайлов. Удалённый атакующий может заставить браузер разработчика отправить этот запрос, изменяющий состояние системы, подтолкнув разработчика посетить страницу, контролируемую атакующим, во время работы tinacms dev. Эта проблема исправлена в версии 2.5.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.