CVE-2026-34603
Açıklama
Tina, headless bir içerik yönetim sistemidir. Versiyon 2.2.2 öncesinde, @tinacms/cli geliştirici medya rotalarına yakın zamanda lexical path-traversal kontrolleri eklemiştir ancak uygulama hala yalnızca yol dizesini doğrulamakta ve sembolik bağlantı veya junction hedeflerini çözümlememektedir. Medya kök dizininde halihazırda bir bağlantı mevcutsa, Tina pivot/written-from-media.txt gibi bir yolu medya dizininin "içinde" olarak kabul eder ve ardından bu bağlantı hedefi üzerinden gerçek dosya sistemi işlemleri gerçekleştirir. Bu durum, kök dizin dışındaki medyaların listelenmesine ve yazma erişimine izin verir; aynı temel neden silme işlemini de etkilemektedir. Bu sorun versiyon 2.2.2 ile düzeltilmiştir.
Nasıl düzeltilir
- @tinacms/graphql2.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ssw tinacms\/cli | v ≤ 2.2.1 | — |
| @tinacms/graphqlnpm | v < 2.2.2 | 2.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.