CVE-2026-73646
CVE-2026-73646 · PostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
PostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.18, lib/previous-map.js loadMap() passes attacker-controlled sourceMappingURL values to join(dirname(opts.from), annotation), and loadFile() permits traversed or absolute .map paths, allowing untrusted CSS processed without map: false to disclose sourcesContent from arbitrary reachable .map files through result.map. This issue is fixed in version 8.5.18.
CVSS 7.5 · Hoch · EPSS 0,5% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system · node
Betroffene Produkte und Versionen
postcss
- Softwareversionen
- < 8.5.18: Betroffen
Keine Korrektur veröffentlicht
node-postcss Debian:12
- Softwareversionen
- 8.4.20+~cs8.0.23-1
- 8.4.20+~cs8.0.23-1+deb12u1
- 8.4.31+~cs8.0.26-1
- 8.4.39+~cs9.2.29-1
- 8.4.49+~cs9.2.32-1
- 8.5.12+~cs9.3.32-1
- 8.5.14+~cs9.3.34-1
- 8.5.15+~cs9.3.34-1
- 8.5.15+~cs9.3.38-1
- 8.5.15+~cs9.3.39-1
- 8.5.19+~cs10.2.23-1
- 8.5.21+~cs10.2.23-1
- 8.5.23+~cs10.2.23-1
- 8.5.25+~cs10.2.23-1
- 8.5.26+~cs10.2.24-1
- 8.5.28+~cs10.2.24-1
- 8.5.6+~cs9.3.28-1
- 8.5.8+~cs9.3.30-1
- 8.5.9+~cs9.3.30-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-postcss Debian:13
- Softwareversionen
- 8.4.49+~cs9.2.32-1
- 8.5.12+~cs9.3.32-1
- 8.5.14+~cs9.3.34-1
- 8.5.15+~cs9.3.34-1
- 8.5.15+~cs9.3.38-1
- 8.5.15+~cs9.3.39-1
- 8.5.19+~cs10.2.23-1
- 8.5.21+~cs10.2.23-1
- 8.5.23+~cs10.2.23-1
- 8.5.25+~cs10.2.23-1
- 8.5.26+~cs10.2.24-1
- 8.5.28+~cs10.2.24-1
- 8.5.6+~cs9.3.28-1
- 8.5.8+~cs9.3.30-1
- 8.5.9+~cs9.3.30-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-postcss Debian:14
- Softwareversionen
- 8.4.49+~cs9.2.32-1
- 8.5.12+~cs9.3.32-1
- 8.5.14+~cs9.3.34-1
- 8.5.15+~cs9.3.34-1
- 8.5.15+~cs9.3.38-1
- 8.5.15+~cs9.3.39-1
- 8.5.6+~cs9.3.28-1
- 8.5.8+~cs9.3.30-1
- 8.5.9+~cs9.3.30-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 8.5.19+~cs10.2.23-1
Auf 8.5.19+~cs10.2.23-1 aktualisieren
postcss npm
- Betroffene Versionsbereiche
- SEMVER: < 8.5.18
Auf 8.5.18 aktualisieren
node-postcss Ubuntu:20.04:LTS
- Softwareversionen
- 6.0.23-1
- 6.0.23-3
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-postcss Ubuntu:22.04:LTS
- Softwareversionen
- 8.2.1+~cs5.3.23-8
- 8.4.5+~cs7.1.51-2
- 8.4.6+~cs7.3.21-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-postcss Ubuntu:24.04:LTS
- Softwareversionen
- 8.4.20+~cs8.0.23-1
- 8.4.31+~cs8.0.26-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-postcss Ubuntu:26.04:LTS
- Softwareversionen
- 8.5.6+~cs9.3.28-1
- 8.5.8+~cs9.3.30-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht