CVE-2026-108260: opgeslagen XSS in @tinacms/web-components (tina-markdown)

Wat er gebeurde

Het tina-markdown-component in @tinacms/web-components schreef een rich-text node.url direct in de href van een anchor zonder het URL-schema te controleren. Een content-auteur kon daardoor een link met een script-capabel schema opslaan; wanneer een bezoeker op die link klikt, wordt aanvallerscript uitgevoerd in de origin van de site. [4024,32643,32358]

Technische oorzaak

Onjuiste neutralisatie van invoer bij het genereren van webpagina's (CWE-79). De code voegde node.url toe aan href zonder het URL-schema te valideren of te beperken, waardoor niet-HTTP(s)-schema's scriptuitvoering in de site-origin mogelijk werden. [4024,32643,32358]

Waarom dit belangrijk is

Script dat in de origin van de site draait, kan data met dezelfde origin benaderen. De advisories melden dat, wanneer de bezoeker een editor of administrator is, het geïnjecteerde script mogelijk credentials kan onthullen die door de TinaCMS-admin op die origin zijn opgeslagen. Dit vergroot het potentieel schadelijke effect. [4024,32643,32358]

Wie is getroffen

Installaties van @tinacms/web-components die het tina-markdown-element gebruiken en daarmee door auteurs aangeleverde rich-text links renderen, zijn getroffen. De advisories geven aan dat releases tot en met 0.2.0 betroffen zijn en dat 0.2.1 een fix bevat. [4024,32643,32358]

Ontdekking en tijdlijn

De advisories met deze melding werden gepubliceerd op 2026-10-09. De OSV-, GitHub Advisory- en NVD-registraties bevatten dezelfde samenvatting en publicatietijdstempels. Er is in de bronnen geen informatie over actieve exploitatie of een individuele ontdekker opgenomen. [4024,32643,32358]

Getroffen versies

Volgens de advisories zijn releases vanaf de eerste uitgave tot en met 0.2.0 getroffen (<= 0.2.0). Het probleem is verholpen in 0.2.1. [4024,32643,32358]

Oplossing en mitigatie

Er is een vendor-fix beschikbaar: de advisories noemen 0.2.1 als de gerepareerde release. De gelinkte advisories geven geen aanvullende mitigatie-instructies. [4024,32643,32358]

Aanbevolen actie

Werk @tinacms/web-components bij naar 0.2.1 om de door de leverancier aangebrachte correctie toe te passen. Controleer inhoud die links bevat die met tina-markdown worden weergegeven. De bronnen geven geen verdere door de leverancier voorgeschreven mitigaties. [4024,32643,32358]