CVE-2026-34603
Təsvir
Tina başsız məzmun idarəetmə sistemidir. Versiya 2.2.2-dən əvvəl @tinacms/cli tərəfindən dev media marşrutlarına yaxınlarda leksikal path-traversal yoxlamaları əlavə edilmişdir, lakin implementasiya hələ də yalnız yol sətrini təsdiqləyir və simvolik keçidləri (symlink) və ya birləşmə hədəflərini (junction targets) həll etmir. Əgər media kök kataloqu altında artıq bir keçid mövcuddursa, Tina pivot/written-from-media.txt kimi yolu media kataloqunun "daxilində" kimi qəbul edir və sonra həmin keçid hədəfi vasitəsilə real fayl sistemi əməliyyatlarını yerinə yetirir. Bu, kök kataloqundan kənar media siyahısının alınmasına və yazma girişinə imkan verir; eyni səbəb silmə əməliyyatına da təsir edir. Bu problem versiya 2.2.2-də aradan qaldırılmışdır.
Necə düzəltmək olar
- @tinacms/graphql2.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ssw tinacms\/cli | v ≤ 2.2.1 | — |
| @tinacms/graphqlnpm | v < 2.2.2 | 2.2.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.