TinaCMS admin preview iframe loads an attacker-controlled origin from the URL fragment — GHSA-X34J-47HF-4XG7

Zusammenfassung

### Summary The TinaCMS admin builds its preview `<iframe src>` from the `/~/*` hash-router splat without checking that the value stays same-origin. A fragment with a doubled slash (`#/~//attacker.example/p`) becomes the protocol-relative URL `//attacker.example/p`, so the admin frames an external site. That same unvalidated string derives `expectedOrigin`, the only trust anchor for the admin↔preview `postMessage`…

Zeitlicher Verlauf

Von der Quelle veröffentlicht

2026-10-09

Risikokontext

• Gemeldeter Schweregrad oder Risikowert: kritisch.
• Gemeldeter CVSS-Wert: 9.3 von 10.
• Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: npm: tinacms | npm: @tinacms/app.

Produkt

npm: tinacms | npm: @tinacms/app

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

• Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
• Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
• Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
• Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

• Zur offiziellen Quelle
• CVE Record
• NVD

Nachweise und Herkunft

Kanonische Advisory-ID

GHSA-X34J-47HF-4XG7

Quelle

GitHub

Vendor

GitHub

Von der Quelle veröffentlicht

2026-10-09

Letzte Quellenaktivität

2026-10-09

Weitere Kennungen

CVE-2026-108261

Kuratiert von

hlukh.ch

Verwandte Hinweise und Zusammenhänge

Diese Hinweise sind anhand gemeinsamer CVE-, Produkt-, Hersteller-, Quellen- oder Zeitsignale verknüpft.