Plataforma
nodejs
Componente
tinacms
Corregido en
2.1.8
2.1.7
Se ha descubierto una vulnerabilidad de Path Traversal en la versión 2.0.5 del paquete @tinacms/cli, utilizado en el desarrollo de sitios web con TinaCMS. Esta vulnerabilidad, ubicada en el manejador de carga de medios del servidor de desarrollo, permite a un atacante escribir archivos arbitrarios fuera del directorio de medios previsto. La versión 2.1.7 ya ha sido publicada para solucionar este problema, y se recomienda actualizar inmediatamente.
La vulnerabilidad de Path Traversal en TinaCMS permite a un atacante, mediante la manipulación de la ruta de carga de archivos, escribir archivos en ubicaciones arbitrarias del sistema de archivos del servidor. Esto podría resultar en la sobreescritura de archivos de configuración críticos, la ejecución de código malicioso (si se pueden subir archivos ejecutables) o el robo de información sensible. El impacto potencial es significativo, ya que un atacante podría comprometer la integridad y confidencialidad del sitio web y del servidor subyacente. Aunque la vulnerabilidad se encuentra en el servidor de desarrollo, un atacante con acceso podría explotarla para obtener control sobre el entorno de desarrollo y, potencialmente, el entorno de producción.
Esta vulnerabilidad fue descubierta y divulgada públicamente el 12 de marzo de 2026. No se ha reportado su inclusión en el KEV de CISA, ni existen pruebas de explotación activa en campañas conocidas. La disponibilidad de un proof-of-concept público podría facilitar la explotación por parte de actores maliciosos, por lo que se recomienda aplicar las mitigaciones lo antes posible.
Development teams utilizing @tinacms/cli for content management system development are at immediate risk. Specifically, those using versions 2.0.5 or earlier, and those running the development server in environments with inadequate file system permissions, are particularly vulnerable. Shared hosting environments where the development server might be accessible from the public internet are also at heightened risk.
• nodejs / server:
npm list @tinacms/cli• nodejs / server:
grep -r "path.join()" packages/@tinacms/cli/src/next/commands/dev-command/server/media.ts• generic web:
Inspect media upload endpoints for unusual file paths in request parameters. Monitor access logs for requests containing path traversal sequences (e.g., ../).
disclosure
Estado del Exploit
EPSS
0.08% (23% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar el paquete @tinacms/cli a la versión 2.1.7 o superior. Si la actualización causa problemas de compatibilidad, considere revertir a una versión anterior estable de TinaCMS antes de actualizar. Como medida adicional, implemente reglas en un firewall de aplicaciones web (WAF) o proxy inverso para bloquear solicitudes que contengan caracteres de path traversal (como ../) en la ruta de carga de archivos. Revise los permisos de los directorios de medios para asegurar que solo el usuario del servidor tenga permisos de escritura.
Actualice TinaCMS a la versión 2.1.7 o superior. Esta versión corrige la vulnerabilidad de recorrido de ruta en el manejo de la carga de medios.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-28791 is a Path Traversal vulnerability in the @tinacms/cli package, allowing attackers to write files outside the intended media directory.
You are affected if you are using @tinacms/cli versions 2.0.5 or earlier.
Upgrade to @tinacms/cli version 2.1.7 or later. Implement input validation as a temporary workaround.
There are currently no reports of active exploitation, but the vulnerability's ease of exploitation suggests a potential for future attacks.
Refer to the official @tinacms/cli release notes and security advisories on their website or GitHub repository.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.