XSS (Cross-Site Scripting) dans @tinacms/web-components (CVE-2026-108260)
Résumé
XSS dans @tinacms/web-components (CVE-2026-108260). Des informations confidentielles peuvent être exposées. Exploitable via href. Atténuation : mise à jour vers 0.2.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
`` renders a rich-text AST into the DOM and, for a nodes, assigns the node's URL straight to the anchor's href with no scheme check. A link authored in the CMS as javascript:… renders as a live javascript: anchor, so a visitor who clicks it executes attacker-supplied script in the site's origin. Every sibling renderer in the repository already sanitizes these URLs; this one does not.
Details
The unvalidated sink:
packages/@tinacms/web-components/src/tina-markdown.js:67-69
if (node.type === 'html' || node.type === 'html_inline') {
return DOMPurify.sanitize(node.value, { RETURN_DOM_FRAGMENT: true });
}
packages/@tinacms/web-components/src/tina-markdown.js:75 if (node.url && node.type === 'a') el.href = node.url;
packages/@tinacms/web-components/src/tina-markdown.js:76 if (node.url && node.type === 'img') el.src = node.url;
node.url comes from the content attribute the site populates from the TinaCMS content API (:169-176), i.e. whatever a content author typed into a rich-text field. The DOMPurify call at :68 handles only raw-HTML node values and returns before the anchor branch, so it never inspects node.url. Line 75 is a direct property assignment — no HTML parser, no sanitizer. The mode: 'open' shadow root (:164-167) provides no script isolation.
The guard that exists in every sibling renderer:
packages/@tinacms/mdx/src/sanitize-url.ts:10 allowedSchemes = ['http','https','mailto','tel','xref']
pac…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-108260 a été découverte dans @tinacms/web-components.
Des attaquants peuvent cibler un point d'entrée spécifique comme href à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.6/10.
Action : mettez à jour @tinacms/web-components vers 0.2.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « @tinacms/web-components CVE-2026-108260 » sur le site de l'éditeur.
CVE-2026-108260 (@tinacms/web-components) — CWE-79 / CVSS v3 7.6
Vecteur d'attaque : distant (réseau)
Surface d'attaque : href / node.url / content / components
Correctif : 0.2.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une XSS (CWE-79) affecte @tinacms/web-components. Les attaquants atteignent le code vulnérable via href.
Consultez l'avis de l'éditeur pour les versions affectées de @tinacms/web-components. Surface d'attaque : href / node.url / content / components.
Gravité : Élevée (CVSS 7.6/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 0.2.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r '@tinacms/web-components' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
@tinacms/web-componentsを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade @tinacms/web-components to 0.2.1ステージング環境で 0.2.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com