Veille sécuritéFrontend
P3Élevée
Avant Tina 3.0.0, @tinacms/cli pouvait incorporer une valeur de branche Git non fiable dans des littéraux de chaîne JavaScript générés, permettant l’injection de code lors d’un build d’aperçu. La fiche NVD a été mise à jour le 2026-10-14, mais les informations fournies n’établissent pas de changement substantiel ce jour-là; l’item n’est pas retenu comme nouveauté du bulletin.
JavaScript
IdentifiantCVE-2026-108259
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.0.0
Source : NVD — CVE-2026-108259
Analyse technique
Une valeur de branche contenant un guillemet peut sortir de la chaîne générée et injecter une expression JavaScript exécutée lors de l’import du module client généré, avec les privilèges du processus de build.
Impact, versions et correctif
Événement datéPublication le 2026-10-09; mise à jour le 2026-10-14. Le détail fourni ne permet pas de déterminer qu’un changement substantiel a été apporté pendant la période.
ImpactL’exécution de code avec les privilèges du build peut exposer des identifiants d’environnement, altérer les artefacts de déploiement ou effectuer des requêtes réseau.
Versions affectéesTina antérieur à 3.0.0
Version corrigée3.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2
EPSS0,25% · percentile 15,5%
Publication2026-10-09T21:17:04.017Z
Mise à jour2026-10-14T03:17:15.773Z
Action recommandée
Mettre à niveau Tina vers la version 3.0.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).