CVE-2026-108261
iframe de pré-visualização do admin do TinaCMS carrega uma origem controlada pelo atacante a partir do fragmento da URL
Traduzido automaticamente do inglês.
A construção do preview <iframe src> do admin do TinaCMS é feita a partir do /~/* hash-router splat sem verificar se o valor permanece mesmo-origem. Um fragmento com barra dupla (#/~//attacker.example/p) se torna a URL relativa ao protocolo //attacker.example/p, então o admin embute um site externo.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.3 (v3.1)
- EPSS
- 0,16% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- tinacms (npm) <= 3.13.0, corrigido em 3.14.0 · GHSA-x34j-47hf-4xg7
- @tinacms/app (npm) <= 2.5.13, corrigido em 2.5.14 · GHSA-x34j-47hf-4xg7