CVE-2026-108261

Nome do Software Vulnerável e Versões Afetadas tinacms versões anteriores a 3.14.0 @tinacms/app versões anteriores a 2.5.14

Description Um erro de validação de origem na rota de visualização do administrador permite que um invasor não autenticado realize um ataque de "confused-deputy" contra a API de conteúdo. Ao enviar um link manipulado contendo um "hash-router splat" específico para um editor autenticado, um invasor pode forçar a interface do administrador a carregar em um iframe um domínio externo controlado pelo invasor.

Como a aplicação deriva o expectedOrigin para o canal de mensagens GraphQL a partir dessa mesma URL não validada, o frame do invasor é tratado como uma visualização confiável. Isso permite que o frame controlado pelo invasor envie leituras ou mutações GraphQL arbitrárias através do manipulador open em graphql-reducer.ts. Essas operações são executadas pelo administrador usando as credenciais do editor autenticado, permitindo que o invasor exponha ou modifique conteúdo protegido. A vulnerabilidade é acionada quando uma barra dupla no fragmento da URL (ex: #/~//attacker.example/p) é convertida em uma URL relativa ao protocolo, ignorando as restrições de mesma origem pretendidas.

Recommendations Atualize o tinacms para a versão 3.14.0 ou posterior. Atualize o @tinacms/app para a versão 2.5.14 ou posterior.