TinaCMS Vulnerável a Path Traversal Levando a Leitura, Escrita e Exclusão Arbitrária de Arquivos

Um atacante pode explorar esta vulnerabilidade manipulando os parâmetros nas requisições para os endpoints de mídia do servidor de desenvolvimento do TinaCMS. Ao injetar sequências de Path Traversal (como '../') nos caminhos, o atacante pode escapar do diretório de mídia configurado e acessar arquivos sensíveis em outros locais do sistema de arquivos. Isso pode levar à exposição de informações confidenciais, como chaves de API, senhas ou dados de configuração, ou até mesmo permitir a modificação ou exclusão de arquivos críticos do sistema. A extensão do dano potencial depende dos privilégios do usuário que executa o CLI e da sensibilidade dos arquivos acessíveis.

Developers and DevOps teams using @tinacms/cli for content management projects are at risk. Specifically, those running older versions of the CLI in development environments are particularly vulnerable, as these environments often have looser security controls than production systems. Shared hosting environments where multiple developers share the same server could also be affected.

• nodejs / server:

  # Check for vulnerable @tinacms/cli versions
  npm list @tinacms/cli

• nodejs / server:

  # Monitor access logs for suspicious requests containing '..' sequences
  grep "../" /var/log/nginx/access.log

• generic web:

  # Attempt path traversal via curl
  curl http://localhost:4001/media/../../../../etc/passwd

1. 2026-03-12Disclosure

   disclosure

1. Reservado2026-03-03
2. Publicada2026-03-12
3. Modificada2026-03-14
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o @tinacms/cli para a versão 2.1.8 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar regras de Web Application Firewall (WAF) para filtrar requisições maliciosas que contenham sequências de Path Traversal. Além disso, restrinja o acesso ao servidor de desenvolvimento apenas a usuários confiáveis e monitore os logs do servidor em busca de atividades suspeitas. Verifique, após a atualização, se os endpoints de mídia estão corretamente protegidos e não permitem acesso a arquivos fora do diretório esperado.