Tina is a headless content management system. Prior to version 2.2.2, @tinacms/graphql uses string-based path containment checks in FilesystemBridge. That blocks plain ../ traversal, but it does not resolve symlink or junction targets. If a symlink/junction already exists under the allowed content root, a path like content/posts/pivot/owned.md is still considered "inside" the base even though the real filesystem target can be outside it. As a result, FilesystemBridge.get(), put(), delete(), and glob() can operate on files outside the intended root. This issue has been patched in version 2.2.2.
Tina CMS versions prior to 2.2.2 contain a path traversal vulnerability in FilesystemBridge that fails to resolve symlinks and junctions, allowing attackers to access files outside the intended content root directory. The vulnerability affects get(), put(), delete(), and glob() operations, potentially exposing sensitive data or enabling unauthorized file modifications.
تحتوي ثغرة CVE-2026-34604 على عيب في آلية التحقق من احتواء المسار في FilesystemBridge حيث تستخدم فحوصات قائمة على النصوص فقط. لا تقوم بحل الروابط الرمزية والتقاطعات، مما يسمح بالوصول إلى الملفات خارج جذر المحتوى المقصود. يمكن استغلال هذا الضعف للوصول إلى البيانات الحساسة أو تعديل الملفات بشكل غير مصرح به.
نظام Tina CMS الإصدارات السابقة للإصدار 2.2.2 تحتوي على ثغرة اجتياز المسار في FilesystemBridge التي تفشل في حل الروابط الرمزية والتقاطعات. يمكن للمهاجمين الوصول إلى الملفات خارج دليل المحتوى المقصود، مما يؤثر على عمليات get و put و delete و glob.
Upgrade @tinacms/graphql to version 2.2.2 or later immediately. Implement strict file system access controls and disable symlink/junction creation in content directories. Audit existing symlinks and junctions in the content root and remove any pointing outside allowed directories. Apply principle of least privilege to file system permissions.
قم بترقية @tinacms/graphql إلى الإصدار 2.2.2 أو أحدث فوراً. طبق عناصر تحكم صارمة في الوصول إلى نظام الملفات وعطل إنشاء الروابط الرمزية في أدلة المحتوى. قم بمراجعة الروابط الرمزية الموجودة والتقاطعات في جذر المحتوى وأزل أي منها يشير خارج الأدلة المسموحة. طبق مبدأ أقل امتياز على أذونات نظام الملفات.