TinaCMS-Admin: Umgehung der Iframe-Origin-Prüfung in der Admin-Vorschau
Zusammenfassung
Die Admin-Vorschau von TinaCMS lädt das Vorschau-iframe von einem Pfad, der aus dem URL-Fragment stammt, und leitet den vertrauenswürdigen Origin für den Nachrichtenkanal aus derselben URL ab. Ein präparierter Link kann bewirken, dass der Admin einen vom Angreifer kontrollierten Origin einbettet und als vertrauenswürdige Vorschau behandelt. Ein nicht authentifizierter Angreifer, der einen angemeldeten Editor zum Öffnen eines solchen Links bringt, kann das Frame GraphQL-Lese- oder Schreibvorgänge senden lassen, die der Admin mit den Berechtigungen des Editors ausführt.
Betroffen
- tinacms vor 3.14.0
- @tinacms/app vor 2.5.14
- Die untere Grenze des betroffenen Bereichs ist unbekannt.
Behoben in
- tinacms 3.14.0
- @tinacms/app 2.5.14
Umgehung
- Kein offizieller Workaround des Herstellers. Das Aktualisieren ist die Behebung.
- Bis zur Aktualisierung keine unerwarteten Links zum TinaCMS-Admin öffnen, solange man angemeldet ist.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt.
- CISA SSVC: Exploitation 'poc', Automatable 'no', Technical Impact 'total'.
- Öffentlicher Proof of Concept: Keiner bestätigt.
Unsere Empfehlung
- Alle TinaCMS-Projekte inventarisieren und die Versionen von tinacms und @tinacms/app in den Lockfiles prüfen.
- Auf tinacms 3.14.0 und @tinacms/app 2.5.14 oder neuer aktualisieren.
- Editoren warnen, bei Anmeldung keine unerwarteten Links zum Admin anzuklicken.
- Das Herstellerhinweis auf Aktualisierungen prüfen, da Drittquellen bei den Versionsbereichen voneinander abweichen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record and OSV entry osv.dev
- GitHub security advisory GHSA-x34j-47hf-4xg7 github.com
- Fix commit b57dbf4 github.com
- Pull request #7522 github.com
- Release tinacms 3.14.0 github.com
- Release @tinacms/app 2.5.14 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:37.
Referenzen der NVD (6)
- https://github.com/tinacms/tinacms/commit/b57dbf4b56201aef15cd92caa49fd12ab96bbecf
- https://github.com/tinacms/tinacms/pull/7522
- https://github.com/tinacms/tinacms/releases/tag/@tinacms/app@2.5.14
- https://github.com/tinacms/tinacms/releases/tag/tinacms@3.14.0
- https://github.com/tinacms/tinacms/security/advisories/GHSA-x34j-47hf-4xg7
- https://github.com/tinacms/tinacms/security/advisories/GHSA-x34j-47hf-4xg7
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.