CVE-2026-34604
Açıklama
Tina, headless bir içerik yönetim sistemidir. Versiyon 2.2.2 öncesinde, @tinacms/graphql, FilesystemBridge içerisinde dize tabanlı yol kapsama kontrolleri kullanmaktadır. Bu durum basit ../ dizin gezintilerini engeller ancak sembolik bağlantı (symlink) veya junction hedeflerini çözümlemez. Eğer izin verilen içerik kökü altında halihazırda bir sembolik bağlantı/junction mevcutsa, gerçek dosya sistemi hedefi dışarıda olsa bile content/posts/pivot/owned.md gibi bir yol hala temel dizinin "içinde" olarak kabul edilir. Sonuç olarak; FilesystemBridge.get(), put(), delete() ve glob() fonksiyonları, amaçlanan kök dizinin dışındaki dosyalar üzerinde işlem yapabilir. Bu sorun versiyon 2.2.2 ile düzeltilmiştir.
Nasıl düzeltilir
- @tinacms/graphql2.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @tinacms/graphqlnpm | v < 2.2.2 | 2.2.2 |
| ssw tinacms\/graphql | v ≤ 2.2.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.