Autorisatielek in Tina CMS: elke TinaCloud-gebruiker kan toegang krijgen tot self-hosted sites (CVE-2026-63506)

Wat is er gebeurd

Er is een probleem met gebroken toegangscontrole vastgesteld in de autorisatielogica van Tina. De functie isAuthorized accepteert een client-ID dat door het binnenkomende verzoek wordt meegegeven, en geeft dit door aan isUserAuthorized om een bearer-token te valideren — in plaats van het token te controleren tegen de daadwerkelijk geconfigureerde TinaCloud-app van de self-hosted site zelf. Hierdoor bepaalt de aanvrager zelf welk client-ID wordt gebruikt voor validatie, in plaats van dat dit vastligt aan de site die benaderd wordt.

Technische oorzaak

De kwetsbare code bevindt zich in packages/@tinacms/auth/src/index.ts en packages/next-tinacms-azure/src/auth.ts. Omdat de autorisatieroutine een door het verzoek bepaald client-/app-ID vertrouwt in plaats van de geconfigureerde app van de slachtoffersite af te dwingen, kan een aanvaller met een geldig TinaCloud-account en token zijn eigen app-ID samen met zijn eigen geldige bearer-token indienen bij een endpoint van het slachtoffer. De TinaCloudBackendAuthProvider van het slachtoffer, of een getroffen media-autorisatiecallback, valideert het token vervolgens tegen de eigen TinaCloud-app van de aanvaller — wat slaagt, omdat de aanvaller die app en dat token rechtmatig bezit — en behandelt de aanvaller ten onrechte als geautoriseerd binnen de tenant van het slachtoffer. Dit is geclassificeerd als CWE-639 (Authorization Bypass Through User-Controlled Key).

Waarom dit belangrijk is

Bij succesvolle uitbuiting kan een aanvaller media op de self-hosted Tina-site van het slachtoffer opsommen, lezen, uploaden of verwijderen. Bij gebruik van TinaCloudBackendAuthProvider kan de aanvaller bovendien GraphQL-operaties uitvoeren om content van het slachtoffer te lezen, aan te maken, te wijzigen en te verwijderen. Van belang is dat hiervoor geen account van het slachtoffer, geen inloggegevens van het slachtoffer en geen enkele interactie van het slachtoffer nodig zijn — de aanvaller heeft alleen een eigen TinaCloud-account en token nodig, plus kennis van of toegang tot een endpoint van het slachtoffer.

Getroffen versies

@tinacms/auth-versies tot en met 1.1.3 zijn getroffen. next-tinacms-azure-versies tot en met 15.0.0 zijn getroffen.

Oplossingen en mitigatie

De kwetsbaarheid is verholpen in @tinacms/auth versie 1.1.4 en next-tinacms-azure versie 15.0.1. Sites die een van beide pakketten gebruiken, dienen te upgraden naar de gepatchte versie om de juiste handhaving van de eigen geconfigureerde app van de self-hosted site tijdens autorisatiecontroles te herstellen.

Aanbevolen actie

Beheerders van self-hosted Tina-installaties die @tinacms/auth of next-tinacms-azure gebruiken, wordt aangeraden zonder uitstel te updaten naar @tinacms/auth 1.1.4 respectievelijk next-tinacms-azure 15.0.1. Gezien het ontbreken van vereiste interactie van het slachtoffer en het risico op ongeautoriseerde content- en media-operaties, verdient deze update prioriteit, met name voor sites die TinaCloudBackendAuthProvider gebruiken.