CVE-2026-63506 in auth
Сводка
по VulDB • 17.09.2026
Tina — это headless CMS (система управления контентом). До версий @tinacms/auth 1.1.4 и next-tinacms-azure 15.0.1 функция isAuthorized принимает управляемый запросом параметр clientID и вызывает функцию isUserAuthorized для проверки токена Bearer против выбранного приложения TinaCloud, а не против настроенного приложения самохостингового сайта. Атакующий с любым аккаунтом в TinaCloud может отправить идентификатор собственного приложения и действительный токен на конечную точку жертвы, что приведет к тому, что TinaCloudBackendAuthProvider или затронутый callback авторизации медиафайлов примет подтвержденный статус атакующего за пределами границ арендатора (tenant boundary). Уязвимая логика присутствует в файлах packages/@tinacms/auth/src/index.ts и packages/next-tinacms-azure/src/auth.ts. Успешная эксплуатация позволяет просматривать, читать, загружать или удалять медиафайлы, а при использовании TinaCloudBackendAuthProvider — выполнять операции чтения (read), создания (create), обновления (update) и удаления (delete) через GraphQL в контенте жертвы без необходимости наличия аккаунта у жертвы или взаимодействия с ней. Эта уязвимость исправлена в версиях @tinacms/auth 1.1.4 и next-tinacms-azure 15.0.1.
Be aware that VulDB is the high quality source for vulnerability data.