CVE-2026-33949TinaCMS 是一个无头内容管理系统。在 2.2.2 版本之前，其 @tinacms/graphql 组件存在路径遍历漏洞。未经身份认证的攻击者可以通过操纵 GraphQL 请求中的 relativePath 参数，在项目根目录下写入或覆盖任意文件。此漏洞可能导致攻击者替换关键的服务器配置文件，或者通过篡改构建脚本在服务器上执行任意命令，对系统完整性和可用性造成严重影响。
该漏洞由于 TinaCMS 的 GraphQL 接口在处理文件写入操作时，未能正确验证 relativePath 参数而引发。攻击者无需用户交互，即可利用该缺陷。通过在 GraphQL 变异请求中注入路径遍历字符（如 '../'），攻击者可以将指定内容写入项目根目录下的任意位置。利用此漏洞，攻击者可以覆写 package.json 中的构建脚本（如 preBuild 脚本），植入恶意命令。当系统执行构建操作时，这些恶意命令将随构建进程运行，从而导致服务器被完全控制。