PT-2024-31595 · Unknown · @Tinacms/Cli

Mattsbennett · Publicado 2024-09-03 · Atualizado 2024-09-12 · CVE-2024-45391

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do @tinacms/cli anteriores à 1.6.2

Descrição

O Tina é um sistema de gerenciamento de conteúdo (CMS) de código aberto. Sites criados com a interface de linha de comando (CLI) do Tina CMS que utilizam um token de pesquisa podem estar vulneráveis ao vazamento desse token por meio do arquivo de bloqueio (tina-lock.json). Os administradores de sites habilitados para o Tina com configuração de pesquisa devem trocar sua chave imediatamente. Esta falha foi corrigida na versão 1.6.2 do @tinacms/cli.

Recomendações

Para versões anteriores à 1.6.2, atualize para a versão 1.6.2 e troque o token de pesquisa para corrigir a falha adequadamente.

Como solução temporária, considere trocar o token de pesquisa imediatamente para minimizar o risco de exploração.

Exploit

Correção

Information Disclosure

Cleartext Storage of Sensitive Information

Enumeração de Fraquezas

CWE-200

CWE-312

Identificadores relacionados

CVE-2024-45391

GHSA-4QRM-9H4R-V2FX

Produtos afetados

@Tinacms/Cli

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45391.json · Exploit
• https://github.com/tinacms/tinacms · Nota
• https://github.com/tinacms/tinacms/security/advisories/GHSA-4qrm-9h4r-v2fx · Aviso do Fabricante
• https://github.com/tinacms/tinacms/commit/110f1ceea4574d636a64526648f7c8bf6539b26a · Correção
• https://github.com/tinacms/tinacms/pull/4758 · Nota
• https://t.me/cvenotify/93180 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-45391 · Nota de Segurança
• https://twitter.com/cracbot/status/1832660236760666508 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1831103179829723278 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-45391 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1831057360502047045 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-4qrm-9h4r-v2fx · Aviso do Fabricante
• https://t.me/cvedetector/4716 · Publicação no Telegram