Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

CVE-2026-63506

PUBLISHED 17.09.2026

CNA: GitHub_M

Tina: [Broken Access Control] letting any TinaCloud user authorize against any self-hosted site

Обновлено: 16.09.2026
Tina is a headless content management system. Prior to @tinacms/auth 1.1.4 and next-tinacms-azure 15.0.1, isAuthorized accepts a request-controlled clientID and asks isUserAuthorized to validate the bearer token against that selected TinaCloud app instead of the self-hosted site's configured app. An attacker with any TinaCloud account can submit the attacker's own app ID and valid token to a victim endpoint, causing TinaCloudBackendAuthProvider or an affected media authorized callback to accept the attacker's verified status across the tenant boundary. The vulnerable logic is present in packages/@tinacms/auth/src/index.ts and packages/next-tinacms-azure/src/auth.ts. Successful exploitation permits media listing, reading, upload, or deletion and, when TinaCloudBackendAuthProvider is used, GraphQL read, create, update, and delete operations on the victim's content without a victim account or victim interaction. This vulnerability is fixed in @tinacms/auth 1.1.4 and next-tinacms-azure 15.0.1.

CWE

Идентификатор Описание
CWE-639 The system's authorization functionality does not prevent one user from gaining access to another user's data or record by modifying the key value identifying the data.

CVSS

Оценка Severity Версия Базовый вектор
8.8 HIGH 3.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

EPSS

Вероятность Severity Процентиль ? Дата расчёта
0.49% LOW 40.89 17.09.2026

Доп. Информация

Product Status

tinacms
Product: tinacms
Vendor: tinacms
Default status: Не определен
Версии:
Затронутые версии Статус
Наблюдалось в версии < 1.1.4 affected
auth
Product: auth
Vendor: @tinacms
Default status: Не определен
Версии:
Затронутые версии Статус
Наблюдалось в версии < 1.1.4 affected
next-tinacms-azure
Product: next-tinacms-azure
Vendor: tinacms
Default status: Не определен
Версии:
Затронутые версии Статус
Наблюдалось в версии < 15.0.1 affected
 

Ссылки

CISA ADP Vulnrichment

Обновлено: 17.09.2026
Этот блок содержит дополнительную информацию, предоставленную программой CVE для этой уязвимости.

SSVC

Exploitation Automatable Technical Impact Версия Дата доступа
poc no total 2.0.3 17.09.2026

Ссылки

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.