Plateforme
nodejs
Composant
@tinacms/graphql
Corrigé dans
2.2.3
2.2.2
La CVE-2026-34604 est une vulnérabilité de traversée de chemin présente dans @tinacms/graphql. Elle permet à un attaquant d'accéder à des fichiers en dehors du répertoire racine prévu en utilisant des liens symboliques ou des jonctions. Cela affecte les fonctions get(), put(), delete() et glob(). La vulnérabilité a été corrigée dans la version 2.2.2.
La vulnérabilité CVE-2026-34604 dans @tinacms/graphql permet à un attaquant, par la manipulation de liens symboliques (symlinks) ou de jonctions, d'accéder à des fichiers situés en dehors du répertoire de contenu autorisé. Le système de validation de chemin, qui repose sur une comparaison de chaînes de caractères sans résoudre les liens symboliques, considère qu'un chemin pointant vers un fichier en dehors du répertoire racine du contenu est autorisé. Cela pourrait entraîner la lecture non autorisée de fichiers sensibles ou l'exécution de code malveillant, en fonction des permissions du serveur et des fichiers accessibles.
Un attaquant pourrait exploiter cette vulnérabilité en créant un lien symbolique dans le répertoire de contenu qui pointe vers un fichier situé en dehors de ce répertoire. En fournissant un chemin qui inclut ce lien symbolique, le système de validation de chemin de TinaCMS considérerait le chemin comme valide, permettant à l'attaquant d'accéder au fichier externe. L'efficacité de cette attaque dépend de l'existence de liens symboliques ou de jonctions configurés dans le système de fichiers et des permissions du serveur.
Applications and websites utilizing @tinacms/graphql for content management and file handling are at risk, particularly those with user-supplied file paths or those running older, unpatched versions of the package. Shared hosting environments where multiple applications share the same file system are also at increased risk.
• nodejs / supply-chain:
npm list @tinacms/graphql• nodejs / supply-chain:
npm audit @tinacms/graphql• generic web:
Inspect incoming requests for unusual path patterns, especially those containing ../ sequences, particularly when dealing with file operations.
• generic web:
Review access logs for requests attempting to access files outside the expected content root directory.
disclosure
Statut de l'Exploit
EPSS
0.08% (percentile 23%)
CISA SSVC
Vecteur CVSS
La solution recommandée est de mettre à jour vers la version 2.2.2 ou supérieure de @tinacms/graphql. Cette version corrige la vulnérabilité en résolvant correctement les liens symboliques et les jonctions avant d'effectuer la validation du chemin. De plus, examinez la configuration du serveur pour vous assurer que les permissions d'accès aux fichiers et aux répertoires sont aussi restrictives que possible, en limitant l'accès uniquement aux utilisateurs et processus nécessaires. La mise en place d'un système d'audit pour surveiller l'accès aux fichiers sensibles peut également aider à détecter et à répondre aux attaques potentielles.
Actualice el paquete @tinacms/graphql a la versión 2.2.2 o superior. Esto corrige la vulnerabilidad de validación de rutas en FilesystemBridge, evitando el acceso a archivos fuera del directorio raíz permitido mediante el uso de enlaces simbólicos o junctions.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Un lien symbolique est un type de fichier qui pointe vers un autre fichier ou répertoire. Il est similaire à un raccourci sous Windows.
Une jonction est un type spécifique de lien symbolique sous Windows utilisé pour créer un point d'accès à un répertoire situé ailleurs dans le système de fichiers.
Vérifiez la version de @tinacms/graphql dans votre fichier package.json. Si elle est inférieure à 2.2.2, vous utilisez une version vulnérable.
En tant que mesure temporaire, envisagez de restreindre l'utilisation de liens symboliques et de jonctions dans le répertoire de contenu de TinaCMS.
Plusieurs outils de sécurité peuvent analyser votre système de fichiers à la recherche de liens symboliques et de jonctions potentiellement dangereux.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.