Tina: Code injection via unescaped Git branch name in generated client source — GHSA-PWHX-CVV3-QJ5C

GitHub · GitHub · GHSA-PWHX-CVV3-QJ5C

ID
GHSA-PWHX-CVV3-QJ5C

Datum
2026-10-09

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
8.2

Zusammenfassung

### Summary `@tinacms/cli` inserts the raw Git branch value into the generated `client.ts` source without escaping or encoding. A Git-valid branch name can close the string literal and inject an arbitrary JavaScript expression that executes when the consumer build imports the generated client module. ### Affected component - **Source (branch read):** `packages/@tinacms/cli/src/cmds/init/templates/config.ts` lines…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-10-09

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 8.2 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: npm: @tinacms/cli.

Produkt

npm: @tinacms/cli

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-PWHX-CVV3-QJ5C
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-10-09
Letzte Quellenaktivität: 2026-10-09
Weitere Kennungen: CVE-2026-108259
Kuratiert von: hlukh.ch