FICHE CVE

CVE-2026-28792

Publiée le 2026-03-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les développeurs utilisant le serveur de développement CLI de TinaCMS (avant la version 2.1.8) sont exposés à un risque d'attaque « drive-by ». Un attaquant distant peut lire, écrire ou supprimer des fichiers sur votre machine locale simplement en vous incitant à visiter un site web malveillant pendant que votre serveur de développement est en cours d'exécution. Cela ne nécessite aucune authentification ni privilège particulier, seulement que le serveur soit actif et que vous cliquiez sur un lien compromis.

CVSS 3.19.6 CRITIQUE

Type de faiblesse

Traversée de répertoires · CWE-22 CWE-942

Publiée2026-03-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Tina is a headless content management system. Prior to 2.1.8 , the TinaCMS CLI dev server combines a permissive CORS configuration (Access-Control-Allow-Origin: *) with the path traversal vulnerability (previously reported) to enable a browser-based drive-by attack. A remote attacker can enumerate the filesystem, write arbitrary files, and delete arbitrary files on developer's machines by simply tricking them into visiting a malicious website while tinacms dev is running. This vulnerability is fixed in 2.1.8.