CVE-2026-59992 Tina — эксплойт и детали уязвимости MEDIUM

Параметр	Значение
CVSS	5,4 (MEDIUM)
Тип уязвимости	CWE-639 (Обход авторизации), CWE-862 (Отсутствие авторизации)
Поставщик	Tina
Публичный эксплойт	Нет

Tina — это безголовая система управления контентом. До версий next-tinacms-s3 23.0.4, next-tinacms-dos 23.0.4, next-tinacms-azure 14.0.4 и next-tinacms-cloudinary 26.0.4 производственные медиа-адаптеры первой стороны передают управляемые злоумышленником объектные ключи в операции загрузки и удаления SDK хранилища, не применяя настроенный оператором mediaRoot. В packages/next-tinacms-s3/src/handlers.ts createMediaHandler принимает req.query.key для подписанного URL-адреса PutObject, а путь DELETE использует req.query.media в качестве ключа DeleteObjectCommand.

Такая же отсутствующая проверка границы ключа существует в packages/next-tinacms-dos/src/handlers.ts, packages/next-tinacms-azure/src/handlers.ts и packages/next-tinacms-cloudinary/src/handlers.ts. Таким образом, авторизованный редактор CMS может создавать или удалять объекты в любом месте, к которому могут добраться учетные данные хранилища развертывания, включая объекты других арендаторов или объекты, не относящиеся к носителям. Эти проблемы исправлены в next-tinacms-s3 23.0.4, next-tinacms-dos 23.0.4, next-tinacms-azure 14.0.4 и next-tinacms-cloudinary 26.0.4.

Показать оригинальное описание (EN)

Tina is a headless content management system. Prior to next-tinacms-s3 23.0.4, next-tinacms-dos 23.0.4, next-tinacms-azure 14.0.4, and next-tinacms-cloudinary 26.0.4, the first-party production media adapters pass attacker-controlled object keys to storage SDK upload and delete operations without enforcing the operator's configured mediaRoot. In packages/next-tinacms-s3/src/handlers.ts, createMediaHandler accepts req.query.key for a signed PutObject URL and the DELETE path uses req.query.media as the DeleteObjectCommand key. The same missing key-boundary check exists in packages/next-tinacms-dos/src/handlers.ts, packages/next-tinacms-azure/src/handlers.ts, and packages/next-tinacms-cloudinary/src/handlers.ts. An authenticated CMS editor can therefore create or delete objects anywhere the deployment's storage credential can reach, including other tenants' or non-media objects. These issues are fixed in next-tinacms-s3 23.0.4, next-tinacms-dos 23.0.4, next-tinacms-azure 14.0.4, and next-tinacms-cloudinary 26.0.4.