Plateforme
nodejs
Composant
@tinacms/graphql
Corrigé dans
2.2.3
2.2.2
La CVE-2026-34603 est une vulnérabilité de traversée de chemin présente dans @tinacms/cli. Elle permet à un attaquant d'accéder et d'écrire des fichiers en dehors du répertoire racine prévu en utilisant des liens symboliques ou des jonctions. Cela affecte la gestion des médias en mode développement. La vulnérabilité a été corrigée dans la version 2.2.2.
La vulnérabilité CVE-2026-34603 dans @tinacms/cli permet à un attaquant d'accéder et de modifier des fichiers en dehors du répertoire multimédia prévu. Bien que des vérifications de parcours de chemin lexical aient été implémentées, elles ne résolvent pas correctement les liens symboliques ou les jonctions. Cela signifie que si un lien existe dans le répertoire multimédia, TinaCMS acceptera un chemin tel que pivot/written-from-media.txt comme valide, puis effectuera des opérations sur le système de fichiers ciblant ce lien. Cela peut entraîner une énumération et un accès en écriture des médias en dehors de la racine, compromettant la sécurité de l'application. L'absence de résolution de lien permet à un attaquant de contourner les protections de chemin mises en œuvre.
Un attaquant pourrait exploiter cette vulnérabilité en créant un lien symbolique ou une jonction dans le répertoire multimédia qui pointe vers un fichier en dehors de ce répertoire. En fournissant un chemin qui utilise ce lien, l'attaquant peut tromper TinaCMS pour qu'il accède et modifie des fichiers en dehors du répertoire multimédia prévu. La complexité de l'exploitation dépend de la capacité de l'attaquant à créer et à manipuler des liens symboliques ou des jonctions sur le système de fichiers sous-jacent. Une exploitation réussie nécessite un accès au système de fichiers où le projet TinaCMS réside.
TinaCMS deployments using versions of @tinacms/graphql prior to 2.2.2 are at risk. This includes projects utilizing TinaCMS for content management and those relying on the @tinacms/graphql package for media handling. Shared hosting environments where the media directory permissions are not strictly controlled are particularly vulnerable.
• nodejs / server:
npm audit @tinacms/graphql• nodejs / server:
grep -r "funct" /path/to/node_modules/@tinacms/graphql/• generic web: Inspect requests to dev media routes for suspicious path parameters containing '..' or symbolic link references.
disclosure
Statut de l'Exploit
EPSS
0.07% (percentile 23%)
CISA SSVC
Vecteur CVSS
L'atténuation principale pour CVE-2026-34603 consiste à mettre à niveau vers la version 2.2.2 ou supérieure de @tinacms/cli. Cette version inclut une correction qui résout le problème de la non-résolution des liens symboliques et des jonctions. De plus, il est recommandé de revoir la configuration de votre répertoire multimédia pour vous assurer qu'aucun lien symbolique ou jonction n'existe et ne peut être exploité. La mise en œuvre d'un système de permissions robuste pour le répertoire multimédia peut également aider à limiter l'impact d'une éventuelle exploitation. Des audits de sécurité réguliers sont essentiels pour identifier et traiter les vulnérabilités potentielles.
Actualice la versión de @tinacms/graphql a la versión 2.2.2 o superior. Esto corrige la vulnerabilidad de path traversal en los endpoints de media.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Un lien symbolique est un type de fichier qui pointe vers un autre fichier ou répertoire. Il est similaire à un raccourci sous Windows.
Une jonction est un type de lien symbolique utilisé dans les systèmes de fichiers réseau. Elle permet d'accéder aux fichiers et répertoires sur un système de fichiers distant comme s'ils étaient locaux.
Si vous utilisez une version de @tinacms/cli antérieure à 2.2.2, vous êtes probablement vulnérable. Vous pouvez vérifier votre version en exécutant npm list @tinacms/cli dans votre projet.
Si vous ne pouvez pas mettre à niveau immédiatement, il est recommandé de revoir la configuration de votre répertoire multimédia et de vous assurer qu'aucun lien symbolique ou jonction n'existe et ne peut être exploité. De plus, envisagez de mettre en œuvre un système de permissions robuste.
Il est important de se tenir au courant des dernières mises à jour de sécurité de @tinacms/cli et des autres packages que vous utilisez dans votre projet.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.