CVE-2026-28793 描述了 @tinacms/cli 开发服务器中的路径遍历漏洞。该漏洞允许攻击者读取和写入文件系统中的任意文件，绕过预期的媒体目录限制，可能导致敏感信息泄露或恶意代码执行。该漏洞影响 2.1.8 之前的版本，已于 2026 年 3 月 12 日公开。建议立即升级至 2.1.8 版本以修复此问题。
攻击者可以利用此路径遍历漏洞，通过构造恶意的媒体文件请求，访问文件系统中的任意位置。例如，攻击者可以通过修改请求的路径参数，读取服务器上的配置文件、源代码或其他敏感数据。更严重的是，攻击者可能能够写入任意文件，从而篡改系统配置、上传恶意代码，甚至完全控制服务器。由于 TinaCMS 通常用于内容管理，因此此漏洞可能导致网站内容被破坏、用户数据泄露，甚至整个网站被攻陷。该漏洞的潜在影响范围取决于服务器的配置和权限，但通常可以认为其影响范围较大。
目前尚无公开的漏洞利用代码，但该漏洞的严重性较高，且易于利用，因此存在被利用的风险。该漏洞已添加到 CISA KEV 目录中，表明其具有较高的潜在威胁。建议密切关注安全社区的动态，并及时采取缓解措施。
Developers and DevOps teams using @tinacms/cli for content management projects are at risk. Specifically, those running older versions of the CLI in development environments are particularly vulnerable, as these environments often have looser security controls than production systems. Shared hosting environments where multiple developers share the same server could also be affected.
• nodejs / server:
# Check for vulnerable @tinacms/cli versions
npm list @tinacms/cli• nodejs / server:
# Monitor access logs for suspicious requests containing '..' sequences
grep "../" /var/log/nginx/access.log• generic web:
# Attempt path traversal via curl
curl http://localhost:4001/media/../../../../etc/passwddisclosure
漏洞利用状态
EPSS
0.02% (6% 百分位)
CISA SSVC
最有效的缓解措施是立即升级到 @tinacms/cli 的 2.1.8 版本或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：首先，限制媒体目录的访问权限，确保只有授权用户才能访问。其次，实施严格的输入验证，过滤掉任何可能导致路径遍历的特殊字符或序列。第三，使用 Web 应用防火墙 (WAF) 或代理服务器来检测和阻止恶意的请求。最后，定期审查服务器上的文件权限和访问日志，以发现任何可疑活动。升级后，请确认通过检查媒体目录下的文件是否仍然受到保护，以及任何敏感文件是否仍然安全。
Actualice el paquete @tinacms/cli a la versión 2.1.8 o superior. Esto corrige la vulnerabilidad de path traversal que permite la lectura, escritura y eliminación de archivos arbitrarios fuera del directorio de medios configurado.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-28793 是 @tinacms/cli 开发服务器中发现的路径遍历漏洞，允许攻击者访问文件系统中的任意文件。
如果您正在使用 @tinacms/cli 的 2.1.8 之前的版本，则可能受到此漏洞的影响。
立即升级到 @tinacms/cli 的 2.1.8 版本或更高版本。
目前尚无公开的漏洞利用代码，但由于漏洞的严重性，存在被利用的风险。
请查阅 @tinacms 的官方安全公告或 GitHub 仓库以获取更多信息。
CVSS 向量