CVE-2026-34604
Təsvir
Tina başsız məzmun idarəetmə sistemidir. Versiya 2.2.2-dək @tinacms/graphql FilesystemBridge daxilində sətir əsaslı yol yoxlamalarından istifadə edir. Bu, sadə ../ keçidlərini bloklayır, lakin simvolik keçidləri (symlink) və ya birləşmə hədəflərini (junction targets) həll etmir. Əgər icazə verilmiş məzmun kökü altında artıq bir simvolik keçid/birləşmə mövcuddursa, content/posts/pivot/owned.md kimi bir yol, real fayl sistemi hədəfi onun xaricində olsa belə, hələ də baza "daxilində" hesab olunur. Nəticə etibarilə, FilesystemBridge.get(), put(), delete() və glob() funksiyaları nəzərdə tutulmuş kökdən kənardakı fayllar üzərində əməliyyatlar apara bilər. Bu problem versiya 2.2.2-də aradan qaldırılmışdır.
Necə düzəltmək olar
- @tinacms/graphql2.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @tinacms/graphqlnpm | v < 2.2.2 | 2.2.2 |
| ssw tinacms\/graphql | v ≤ 2.2.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.