CVE-2026-59992 in azure
要約
〜によって VulDB • 2026年08月20日
Tinaはヘッドレスなコンテンツマネジメントシステムです。next-tinacms-s3 23.0.4、next-tinacms-dos 23.0.4、next-tinacms-azure 14.0.4、および next-tinacms-cloudinary 26.0.4 より前では、ファーストパーティの生産用メディアアダプタが、オペレータによって設定された mediaRoot を強制することなく、攻撃者が制御するオブジェクトキーをストレージSDKのアップロードおよび削除操作に渡していました。packages/next-tinacms-s3/src/handlers.ts において、createMediaHandler は署名付き PutObject URL に req.query.key を受け取り、DELETEパスでは DeleteObjectCommand のキーとして req.query.media が使用されます。同じくキー境界チェックの欠如が packages/next-tinacms-dos/src/handlers.ts、packages/next-tinacms-azure/src/handlers.ts、および packages/next-tinacms-cloudinary/src/handlers.ts に存在します。したがって、認証済みCMSエディタは、デプロイメントのストレージ資格情報でアクセス可能なあらゆる場所（他のテナントやメディア以外のオブジェクトを含む）にオブジェクトを作成または削除できます。これらの問題は next-tinacms-s3 23.0.4、next-tinacms-dos 23.0.4、next-tinacms-azure 14.0.4、および next-tinacms-cloudinary 26.0.4 で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.