Kulesy

**Nome do Software Vulnerável e Versões Afetadas** @tinacms/app versões anteriores a 2.5.6 tinacms versões anteriores a 3.9.3 **Description** Manejadores de postMessage de origem cruzada permitem XSS armazenado e sequestro de sessão. O software registra ouvintes de mensagens de janela — especificamente o manipulador de sobreposição useTina, o manipulador de popup de autenticação OAuth e o redutor GraphQL do iframe admin↔preview — que processam `event.data` sem verificar `event.origin` ou `event.source`. Além disso, envia mensagens usando origens de destino não específicas. Uma página maliciosa visitada por uma vítima, ou uma janela em relação de opener/iframe com um administrador do Tina, pode forjar mensagens para controlar o editor, injetar conteúdo de visualização ou manipular o canal de popup OAuth para sequestrar uma sessão de edição autenticada. **Recommendations** Atualize o @tinacms/app para a versão 2.5.6. Atualize o tinacms para a versão 3.9.3.

**Nome do Software Vulnerável e Versões Afetadas** @tinacms/mdx versões anteriores a 2.1.7 tinacms versões anteriores a 3.9.3 **Description** A análise de rich-text e os renderizadores padrão de links/imagens não sanitizam o campo `url` em nós de link/imagem do Slate. Isso permite que conteúdos contendo URLs `javascript:` ou `data:text/html` — incluindo formas com variações de caixa, preenchimento de espaços em branco ou ofuscação por caracteres de controle — sejam renderizados em atributos `href` ou `src`. Consequentemente, qualquer ator capaz de criar conteúdo em rich-text, como um editor com privilégios reduzidos ou por meio de conteúdo externo importado, pode realizar um ataque de Cross-Site Scripting (XSS) armazenado contra editores e visualizadores do site. **Recommendations** Atualize o @tinacms/mdx para a versão 2.1.7 ou posterior. Atualize o tinacms para a versão 3.9.3 ou posterior.