CVE-2026-45623

PostCSS, bir CSS dosyasını alır ve kuralları bir Soyut Sözdizimi Ağacı'na (Abstract Syntax Tree) dönüştürerek bu kuralları analiz etmek ve değiştirmek için bir API sağlar. 8.5.11 ve önceki sürümlerde, PreviousMap, process() fonksiyonuna iletilen herhangi bir CSS dizesindeki /*# sourceMappingURL=PATH */ yorumunu ayrıştırır ve hiçbir şema, izin listesi veya dizin geçiş kontrolü olmaksızın PATH değerini yerel dosya sisteminde çözer. CSS girdisini kontrol eden bir saldırgan, ana işlemin Node tarafından okunabilen herhangi bir dosyayı okumasına neden olabilir ve ortaya çıkan JSON.parse SyntaxError mesajı aracılığıyla içeriğin ilk ~10 baytını sızdırabilir. Bu hata ayrıca kesin bir dosya varlık belirleyicisi (file-existence oracle) ve Hizmet Reddi (DoS) için büyük dosya hedefleriyle birleştirilebilecek kontrol edilebilir bir okuma primitifi sağlar. Bu davranış; from, map veya eklenti gerektirmeksizin PostCSS'in varsayılan seçenekleriyle tetiklenir ve bu nedenle güvenilmeyen CSS'leri PostCSS üzerinden çalıştıran her türlü işlem hattından (CMS temaları, kullanıcı tarafından yüklenen stiller, tarayıcı uzantısı/kullanıcı stili işlemcileri, üçüncü taraf paketler için derleme hatları, blog yorumu oluşturucuları vb.) erişilebilirdir. Bu sorun 8.5.12 sürümünde düzeltilmiştir.