Plateforme
nodejs
Composant
tinacms
Corrigé dans
2.1.8
2.1.7
Une vulnérabilité de traversal de chemin a été découverte dans le serveur de développement de TinaCMS, spécifiquement dans le gestionnaire de téléversement de médias du paquet @tinacms/cli. Cette faille permet à un attaquant d'écrire des fichiers arbitraires en dehors du répertoire des médias prévu, compromettant potentiellement l'intégrité du système. La version affectée est 2.0.5, et une correction est disponible dans la version 2.1.7.
L'exploitation réussie de cette vulnérabilité permet à un attaquant d'écrire des fichiers arbitraires sur le système de fichiers du serveur de développement TinaCMS. Cela pourrait inclure la modification ou la suppression de fichiers de configuration, l'exécution de code malveillant (si le serveur est configuré pour exécuter des scripts) ou la compromission de données sensibles. L'attaquant pourrait potentiellement prendre le contrôle du serveur de développement ou compromettre l'application TinaCMS elle-même. Le risque est exacerbé si le serveur de développement est accessible publiquement ou si des informations d'identification compromises sont utilisées.
Cette vulnérabilité a été rendue publique le 2026-03-12. Il n'y a pas d'indications d'une exploitation active à grande échelle à ce jour. Aucun PoC public n'a été largement diffusé, mais la nature de la vulnérabilité de traversal de chemin la rend potentiellement exploitable par des attaquants expérimentés. La vulnérabilité n'est pas répertoriée sur le KEV de CISA.
Development teams utilizing @tinacms/cli for content management system development are at immediate risk. Specifically, those using versions 2.0.5 or earlier, and those running the development server in environments with inadequate file system permissions, are particularly vulnerable. Shared hosting environments where the development server might be accessible from the public internet are also at heightened risk.
• nodejs / server:
npm list @tinacms/cli• nodejs / server:
grep -r "path.join()" packages/@tinacms/cli/src/next/commands/dev-command/server/media.ts• generic web:
Inspect media upload endpoints for unusual file paths in request parameters. Monitor access logs for requests containing path traversal sequences (e.g., ../).
disclosure
Statut de l'Exploit
EPSS
0.08% (percentile 23%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à niveau vers la version 2.1.7 de @tinacms/cli ou une version ultérieure. Si la mise à niveau n'est pas possible immédiatement, une solution de contournement temporaire pourrait consister à restreindre les permissions d'écriture sur le répertoire des médias. Il est également recommandé de surveiller les journaux du serveur pour détecter toute activité suspecte, comme des tentatives d'écriture de fichiers en dehors du répertoire prévu. En cas de suspicion d'intrusion, une analyse approfondie du système de fichiers est nécessaire pour identifier et supprimer tout fichier malveillant.
Actualice TinaCMS a la versión 2.1.7 o superior. Esta versión corrige la vulnerabilidad de path traversal en el manejo de la carga de medios.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-28791 is a Path Traversal vulnerability in the @tinacms/cli package, allowing attackers to write files outside the intended media directory.
You are affected if you are using @tinacms/cli versions 2.0.5 or earlier.
Upgrade to @tinacms/cli version 2.1.7 or later. Implement input validation as a temporary workaround.
There are currently no reports of active exploitation, but the vulnerability's ease of exploitation suggests a potential for future attacks.
Refer to the official @tinacms/cli release notes and security advisories on their website or GitHub repository.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.