CVE-2026-55661
Publiée le 2026-07-01 · Dernière modification le 2026-07-06
Les utilisateurs de Tina CMS utilisant des versions affectées du package principal ou du plugin MDX sont vulnérables au cross-site scripting (XSS) stocké. Un attaquant disposant d'un accès éditeur avec des privilèges limités peut insérer du JavaScript malveillant dans des liens ou des images, lequel s'exécute ensuite dans le navigateur de tout utilisateur consultant ce contenu. Cela nécessite une authentification de base pour créer le contenu, mais aucun accès spécial supplémentaire ni complexité technique pour le déclencher.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Tina is a headless content management system. In versions prior to @tinacms/mdx 2.1.7 and tinacms 3.9.3, rich-text parsing and the default link/image renderers did not sanitize the url field on Slate link/image nodes. Content containing javascript: or data:text/html URLs — including case-variant, whitespace-padded, and control-character-obfuscated forms — is rendered into href/src and executes when the content is viewed. Any actor able to author rich-text content (for example a lower-privileged editor, or imported/external content) can achieve stored XSS against editors and site viewers. This issue is fixed in versions @tinacms/mdx 2.1.7 and tinacms 3.9.3.