p PatchFirst

CVE-2026-69153

CVE-2026-69153 · PostCSS: incomplete fix of CVE-2026-45623 — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

PostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.19, if from is unset, an attacker can cause PreviousMap.loadFile() to read an unintended source-map file by supplying an absolute or directory-traversal sourceMappingURL. The resulting map’s sources and sourcesContent may then be exposed to the application. This issue is fixed in version 8.5.19.

CVSS 6.3 · Moyenne · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · node

Produits et versions concernés

  • postcss

    Versions du logiciel
    • < 8.5.19: Concernée

    Aucun correctif publié

  • node-postcss Debian:12

    Versions du logiciel
    • 8.4.20+~cs8.0.23-1
    • 8.4.20+~cs8.0.23-1+deb12u1
    • 8.4.31+~cs8.0.26-1
    • 8.4.39+~cs9.2.29-1
    • 8.4.49+~cs9.2.32-1
    • 8.5.12+~cs9.3.32-1
    • 8.5.14+~cs9.3.34-1
    • 8.5.15+~cs9.3.34-1
    • 8.5.15+~cs9.3.38-1
    • 8.5.15+~cs9.3.39-1
    • 8.5.19+~cs10.2.23-1
    • 8.5.21+~cs10.2.23-1
    • 8.5.23+~cs10.2.23-1
    • 8.5.25+~cs10.2.23-1
    • 8.5.26+~cs10.2.24-1
    • 8.5.28+~cs10.2.24-1
    • 8.5.6+~cs9.3.28-1
    • 8.5.8+~cs9.3.30-1
    • 8.5.9+~cs9.3.30-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-postcss Debian:13

    Versions du logiciel
    • 8.4.49+~cs9.2.32-1
    • 8.5.12+~cs9.3.32-1
    • 8.5.14+~cs9.3.34-1
    • 8.5.15+~cs9.3.34-1
    • 8.5.15+~cs9.3.38-1
    • 8.5.15+~cs9.3.39-1
    • 8.5.19+~cs10.2.23-1
    • 8.5.21+~cs10.2.23-1
    • 8.5.23+~cs10.2.23-1
    • 8.5.25+~cs10.2.23-1
    • 8.5.26+~cs10.2.24-1
    • 8.5.28+~cs10.2.24-1
    • 8.5.6+~cs9.3.28-1
    • 8.5.8+~cs9.3.30-1
    • 8.5.9+~cs9.3.30-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-postcss Debian:14

    Versions du logiciel
    • 8.4.49+~cs9.2.32-1
    • 8.5.12+~cs9.3.32-1
    • 8.5.14+~cs9.3.34-1
    • 8.5.15+~cs9.3.34-1
    • 8.5.15+~cs9.3.38-1
    • 8.5.15+~cs9.3.39-1
    • 8.5.19+~cs10.2.23-1
    • 8.5.21+~cs10.2.23-1
    • 8.5.6+~cs9.3.28-1
    • 8.5.8+~cs9.3.30-1
    • 8.5.9+~cs9.3.30-1
    Plages de versions concernées
    • ECOSYSTEM: < 8.5.23+~cs10.2.23-1

    Mettez à jour vers 8.5.23+~cs10.2.23-1

  • postcss npm

    Plages de versions concernées
    • SEMVER: < 8.5.23

    Mettez à jour vers 8.5.23

  • node-postcss Ubuntu:20.04:LTS

    Versions du logiciel
    • 6.0.23-1
    • 6.0.23-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-postcss Ubuntu:22.04:LTS

    Versions du logiciel
    • 8.2.1+~cs5.3.23-8
    • 8.4.5+~cs7.1.51-2
    • 8.4.6+~cs7.3.21-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-postcss Ubuntu:24.04:LTS

    Versions du logiciel
    • 8.4.20+~cs8.0.23-1
    • 8.4.31+~cs8.0.26-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-postcss Ubuntu:26.10

    Versions du logiciel
    • 8.5.8+~cs9.3.30-1
    • 8.5.15+~cs9.3.34-1
    • 8.5.15+~cs9.3.38-1
    • 8.5.15+~cs9.3.39-1build1
    • 8.5.25+~cs10.2.23-1
    • 8.5.26+~cs10.2.24-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-postcss Ubuntu:26.04:LTS

    Versions du logiciel
    • 8.5.6+~cs9.3.28-1
    • 8.5.8+~cs9.3.30-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →