CVE-2026-108259 — Code-injectie in @tinacms/cli via ongevangen Git-branchnaam

Wat er gebeurd is

@tinacms/cli leest branchwaarden uit VERCEL_GIT_COMMIT_REF, GITHUB_BRANCH of HEAD en gebruikt die ruwe waarde in een API-URL die vervolgens in gegenereerde JavaScript-stringliteral wordt geïnterpoleerd. Een branchnaam met een aanhalingsteken kan de string beëindigen en een expressie injecteren die wordt uitgevoerd wanneer de gegenereerde clientmodule tijdens een preview-build wordt geïmporteerd. (Bronnen: 4023, 32645, 32357)

Technische oorzaak

De codegenerator van @tinacms/cli plaatst de branchwaarde direct in JavaScript-stringliterals zonder ontsnapping. Hierdoor kan een speciaal opgemaakte branchnaam met een aanhalingsteken uit de literal breken en uitvoerbare code injecteren in de gegenereerde module. (Bronnen: 4023, 32645)

Waarom dit belangrijk is

De geïnjecteerde code draait met de rechten van het build-proces bij het importeren van de gegenereerde module. De advisories noemen expliciet dat de code omgevingreferenties kan uitlezen, deployment-artifacts kan wijzigen of netwerkverzoeken kan doen, wat tot datalekken of gewijzigde builds kan leiden. (Bronnen: 4023, 32645)

Wie loopt risico

Projecten die @tinacms/cli gebruiken en preview-builds uitvoeren waarbij de gegenereerde clientmodule wordt geïmporteerd, zijn kwetsbaar. Het probleem doet zich voor wanneer branchnamen uit VERCEL_GIT_COMMIT_REF, GITHUB_BRANCH of HEAD worden gelezen en gebruikt om broncode te genereren. (Bronnen: 4023, 32645, 32357)

Ontdekking en tijdlijn

De advisories voor deze kwetsbaarheid zijn gepubliceerd op 2026-10-09 in meerdere databases. Raadpleeg de gelinkte advisories voor de exacte publicatietijdstempels. (Bronnen: 4023, 32645, 32357)

Getroffene versies

De advisories geven aan dat @tinacms/cli kwetsbaar is vanaf de eerste uitgegeven versie (aangegeven als "0") en dat de fout is opgelost in 3.0.0. Een bron specificeert het bereik als "<= 2.7.0". (Bronnen: 4023, 32645)

Oplossing en mitigatie

Er is een patch beschikbaar: de advisories melden dat de fout is opgelost in 3.0.0. De advisories geven geen aanvullende officiële tijdelijke oplossingen. (Bronnen: 4023, 32645)

Aanbevolen actie

Werk @tinacms/cli bij naar 3.0.0 zoals gerapporteerd in de advisories. Controleer tot die tijd de rechten van build-omgevingen en de behandeling van build-omgevingsvariabelen tijdens preview-builds. (Bronnen: 4023, 32645)