CVE-2026-55660

إصدارات @tinacms/app الأقدم من 2.5.6

إصدارات tinacms الأقدم من 3.9.3

تسمح معالجات postMessage عبر الأصول (cross-origin) بـ XSS المخزّن والاستيلاء على الجلسة. يسجل البرنامج مستمعي رسائل النافذة — وتحديدًا معالج التراكب useTina، ومعالج النافذة المنبثقة لمصادقة OAuth، ومُخفِّض GraphQL لإطار iframe admin↔preview — التي تعالج event.data دون التحقق من event.origin أو event.source. بالإضافة إلى ذلك، يقوم البرنامج بنشر الرسائل باستخدام أصول مستهدفة غير محددة. يمكن لصفحة خبيثة يزورها الضحية، أو نافذة في علاقة فتح/إطار فرعي مع «Tina admin»، تزوير الرسائل للتحكم في المحرر، أو إدخال محتوى المعاينة، أو التلاعب بقناة النافذة المنبثقة لـ OAuth لاختطاف جلسة تحرير تمت المصادقة عليها.

تحديث @tinacms/app إلى الإصدار 2.5.6.

تحديث tinacms إلى الإصدار 3.9.3.