CVE-2026-55661

ŚrednieCVSS 4.8

Opublikowano: 01/07/2026(UTC)Zaktualizowano: 06/07/2026(UTC)Przetłumaczono: 07/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W systemie zarządzania treścią Tina stwierdzono podatność na atak XSS w komponencie rich-text. Parsowanie oraz domyślne renderery linków/obrazów nie oczyszczają pola URL, co pozwala na wstrzyknięcie złośliwych adresów (np. javascript: lub data:text/html). Atakujący z uprawnieniami do edycji treści może uzyskać trwały XSS, który wykona się podczas przeglądania treści przez innych użytkowników.

Ocena ryzyka

Organizacja narażona jest na kradzież sesji, przejęcie kont redaktorów oraz wyświetlanie złośliwych treści odwiedzającym witrynę. Podatność może być wykorzystana przez atakujących z niskimi uprawnieniami lub poprzez zaimportowane treści zewnętrzne.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę @tinacms/mdx do wersji 2.1.7 lub nowszej oraz tinacms do wersji 3.9.3 lub nowszej. Po aktualizacji zaleca się również przeskanowanie istniejących treści pod kątem złośliwych adresów URL.

Inne podatności w Tina CMS

CVE-2026-55660Wysokie
Podatność w systemie zarządzania treścią Tina umożliwia ataki XSS i przejęcie sesji poprzez niezweryfikowane komunikaty postMessage oraz niewystarczające oczyszczanie adresów URL w treści bogatej. Atakujący może wykorzystać okno przeglądarki ofiary do wysyłania sfałszowanych wiadomości i przejąć kontrolę nad sesją edycyjną.

Oryginalny opis (angielski, źródło NVD)

Tina is a headless content management system. In versions prior to @tinacms/mdx 2.1.7 and tinacms 3.9.3, rich-text parsing and the default link/image renderers did not sanitize the url field on Slate link/image nodes. Content containing javascript: or data:text/html URLs — including case-variant, whitespace-padded, and control-character-obfuscated forms — is rendered into href/src and executes when the content is viewed. Any actor able to author rich-text content (for example a lower-privileged editor, or imported/external content) can achieve stored XSS against editors and site viewers. This issue is fixed in versions @tinacms/mdx 2.1.7 and tinacms 3.9.3.