CVE-2026-59992 in azure
요약
\~에 의해 VulDB • 2026. 08. 20.
Tina는 헤드리스 콘텐츠 관리 시스템입니다. next-tinacms-s3 23.0.4, next-tinacms-dos 23.0.4, next-tinacms-azure 14.0.4 및 next-tinacms-cloudinary 26.0.4 이전 버전에서는 제1자 생산용 미디어 어댑터가 운영자가 구성한 mediaRoot를 강제하지 않고 공격자가 제어하는 객체 키(storage SDK의 upload 및 delete 작업에) 전달합니다. packages/next-tinacms-s3/src/handlers.ts에서 createMediaHandler는 서명된 PutObject URL을 위해 req.query.key를 사용하며, DELETE 경로는 DeleteObjectCommand 키로 req.query.media를 사용합니다. 동일한 누락된 key-boundary 검사가 packages/next-tinacms-dos/src/handlers.ts, packages/next-tinacms-azure/src/handlers.ts 및 packages/next-tinacms-cloudinary/src/handlers.ts에도 존재합니다. 따라서 인증된 CMS 편집자는 배포의 storage 자격 증명이 접근 가능한 모든 곳(다른 테넌트의 객체 또는 비미디어 객체 포함)에서 객체를 생성하거나 삭제할 수 있습니다. 이러한 문제는 next-tinacms-s3 23.0.4, next-tinacms-dos 23.0.4, next-tinacms-azure 14.0.4 및 next-tinacms-cloudinary 26.0.4에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.