CVE-2026-73646

Nome do Software Vulnerável e Versões Afetadas PostCSS versões anteriores a 8.5.18

Description O PostCSS transforma arquivos CSS em uma Árvore de Sintaxe Abstrata para análise e modificação. Existe um problema de traversal de caminho em lib/previous-map.js onde a função loadMap() passa valores de sourceMappingURL controlados por atacantes para join(dirname(opts.from), annotation), e a função loadFile() permite caminhos .map absolutos ou com traversal. Isso permite que CSS não confiável, processado sem a opção map: false, exponha o sourcesContent de arquivos .map alcançáveis arbitrários através de result.map.

Recommendations Atualize para a versão 8.5.18. Como mitigação temporária, processe CSS não confiável utilizando a opção map: false.