CVE-2026-28791 描述了TinaCMS开发服务器媒体上传处理程序中的路径遍历漏洞 (CWE-22)。由于media.ts文件中的代码在没有验证的情况下使用path.join()连接用户控制的路径段，攻击者可以利用此漏洞在媒体目录中写入任意文件。此漏洞影响@tinacms/cli 2.0.5版本，建议升级至2.1.7版本以修复。
该路径遍历漏洞允许攻击者绕过预期文件路径限制，在TinaCMS媒体目录中写入任意文件。这可能导致敏感信息泄露，恶意文件植入，甚至可能导致服务器被完全控制。攻击者可以利用此漏洞上传恶意脚本，例如PHP文件，并在TinaCMS应用程序中执行，从而实现远程代码执行。由于TinaCMS通常用于内容管理，攻击者可能能够篡改网站内容，破坏网站功能，或窃取用户数据。
目前没有公开的漏洞利用程序，但该漏洞的严重性较高，存在被利用的风险。该漏洞已发布到NVD，CISA尚未将其添加到KEV目录。由于该漏洞涉及文件写入，因此可能被攻击者利用进行进一步的攻击。
Development teams utilizing @tinacms/cli for content management system development are at immediate risk. Specifically, those using versions 2.0.5 or earlier, and those running the development server in environments with inadequate file system permissions, are particularly vulnerable. Shared hosting environments where the development server might be accessible from the public internet are also at heightened risk.
• nodejs / server:
npm list @tinacms/cli• nodejs / server:
grep -r "path.join()" packages/@tinacms/cli/src/next/commands/dev-command/server/media.ts• generic web:
Inspect media upload endpoints for unusual file paths in request parameters. Monitor access logs for requests containing path traversal sequences (e.g., ../).
disclosure
漏洞利用状态
EPSS
0.08% (23% 百分位)
CISA SSVC
最有效的缓解措施是立即升级到@tinacms/cli 2.1.7或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制媒体上传目录的访问权限，确保只有授权用户才能写入该目录。实施严格的文件类型验证，防止上传非预期的文件类型。监控媒体上传目录的活动，及时发现并响应可疑行为。在Web服务器层面上，可以配置Web应用防火墙（WAF）规则，以检测和阻止包含路径遍历模式的请求。
Actualice TinaCMS a la versión 2.1.7 o superior. Esta versión corrige la vulnerabilidad de path traversal en el manejo de la carga de medios.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-28791描述了@tinacms/cli 2.0.5版本中存在的路径遍历漏洞，攻击者可以利用此漏洞在媒体目录中写入任意文件。
如果您正在使用@tinacms/cli 2.0.5版本，则可能受到此漏洞的影响。请立即升级到2.1.7版本。
升级到@tinacms/cli 2.1.7或更高版本是修复此漏洞的最佳方法。
目前没有公开的漏洞利用程序，但由于漏洞的严重性，存在被利用的风险。
请访问TinaCMS官方网站或GitHub仓库，查找关于CVE-2026-28791的公告。
CVSS 向量