CVE-2026-63123

Nome do Software Vulnerável e Versões Afetadas TinaCMS versões anteriores a 2.5.2

Description O pacote CLI do TinaCMS possui uma falha no servidor de desenvolvimento Vite, onde o callback de origem em packages/@tinacms/cli/src/next/vite/cors.ts retorna falso para origens não permitidas, mas não rejeita a requisição. Além disso, o arquivo packages/@tinacms/cli/src/next/vite/plugins.ts continua a rotear o endpoint 'POST /media/upload/*' para mediaRouter.handlePost(). Isso permite que o código de upload em packages/@tinacms/cli/src/next/commands/dev-command/server/media.ts escreva conteúdos multipart controlados por um invasor dentro da raiz de mídia configurada. Um invasor remoto pode explorar isso induzindo um desenvolvedor a visitar uma página maliciosa enquanto o servidor de desenvolvimento está em execução, fazendo com que o navegador envie uma requisição de alteração de estado.

Recommendations Atualizar para a versão 2.5.2.