Më 9 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-x34j-47hf-4xg7 (CVE-2026-108261) për një dobësi me rrezikshmëri kritike (CVSS 9.3) në paketën tinacms të ekosistemit npm. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- tinacms (npm) — versionet e prekura:
<= 3.13.0; versioni me rregullim:3.14.0 - @tinacms/app (npm) — versionet e prekura:
<= 2.5.13; versioni me rregullim:2.5.14
Detaje
- Rrezikshmëria: Kritike (CVSS 9.3)
- CWE: CWE-346 (Origin Validation Error), CWE-441 (Unintended Proxy or Intermediary ('Confused Deputy')), CWE-601 (URL Redirection to Untrusted Site ('Open Redirect'))
- Identifikuesit: GHSA-x34j-47hf-4xg7, CVE-2026-108261
Përmbledhja zyrtare (në anglisht)
TinaCMS admin preview iframe loads an attacker-controlled origin from the URL fragment — Summary The TinaCMS admin builds its preview <iframe src from the /~/* hash-router splat without checking that the value stays same-origin. A fragment with a doubled slash ( /~//attacker.example/p ) becomes the protocol-relative URL //attacker.example/p , so the admin frames an external site. That same unvalidated string derives expectedOrigin , the only trust anchor for the admin↔preview postMessage channel, so the attacker's frame is treated as trusted: it can submit any GraphQL operation, which the admin executes with the signed-in…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin tinacms, përditësojeni sa më shpejt në versionin 3.14.0 ose më të ri.
