CVE-2026-55661

إصدارات @tinacms/mdx الأقدم من 2.1.7

إصدارات tinacms الأقدم من 3.9.3

يفشل تحليل النص المنسق وعوامل عرض الروابط/الصور الافتراضية في تنقية حقل url في عقد الروابط/الصور في Slate. وهذا يسمح بعرض المحتوى الذي يحتوي على عناوين URL من نوع javascript: أو data:text/html — بما في ذلك الإصدارات التي تستخدم تباينات الأحرف الكبيرة والصغيرة، أو الحشو بالمسافات البيضاء، أو التعتيم باستخدام أحرف التحكم — في سمات href أو src. ونتيجة لذلك، يمكن لأي جهة قادرة على إنشاء محتوى نص منسق، مثل محرر ذي صلاحيات محدودة أو من خلال محتوى خارجي مستورد، تنفيذ هجوم «التنفيذ البرمجي عبر المواقع» (XSS) المخزن ضد المحررين وزوار الموقع.

تحديث @tinacms/mdx إلى الإصدار 2.1.7 أو أحدث.

تحديث tinacms إلى الإصدار 3.9.3 أو أحدث.