CVE-2026-69153

Nome do Software Vulnerável e Versões Afetadas PostCSS versões anteriores a 8.5.19

Description O PostCSS transforma arquivos CSS em uma Árvore de Sintaxe Abstrata para permitir a análise e modificação. Quando a opção from não está definida, a função PreviousMap.loadFile() não valida adequadamente o sourceMappingURL fornecido em um comentário CSS. Um invasor pode fornecer um caminho absoluto ou um caminho de travessia de diretório para forçar a aplicação a ler um arquivo de mapa de origem não pretendido. Se o arquivo alvo terminar com a extensão .map e contiver um JSON válido, seus sources (caminhos do sistema de arquivos local) e sourcesContent (conteúdo do código-fonte) podem ser expostos no mapa de origem gerado. Este problema afeta ambientes onde o PostCSS processa CSS influenciado por invasores sem uma opção from especificada e expõe o mapa resultante.

Recommendations Atualize o PostCSS para a versão 8.5.19 ou posterior. Como mitigação temporária, certifique-se de que a opção from esteja sempre definida ao processar CSS para ativar a proteção de validação de caminho.