CVE-2026-33889

ApostropheCMS açıq mənbəli Node.js məzmun idarəetmə sistemidir. 4.28.0 və daha öncəki versiyalarda @apostrophecms/color-field modulunda saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur; burada CSS fərdi xüsusiyyətləri üçün nəzərdə tutulmuş TinyColor validasiyasını keçmək üçün rəng dəyərlərinin əvvəlinə -- prefiksi əlavə edilir və launder.string() çağırışı HTML meta simvollarını təmizləmədən yalnız tip çevirməsini yerinə yetirir. Bu təmizlənməmiş dəyərlər daha sonra həm bütün ziyarətçilər üçün render edilən vidcet stil elementlərində, həm də redaktorlar üçün render edilən qlobal stil cədvəlində birbaşa <style> teqlərinə birləşdirilir və çıxış təhlükəsiz HTML kimi qeyd edilir. Redaktor stil teqini bağlayan və təsirlənmiş vidcet olan hər hansı səhifəyə daxil olan hər bir ziyarətçinin brauzerində ixtiyari JavaScript kodunu icra edən dəyər inyeksiya edə bilər. Bu, kütləvi sessiya oğurluğuna, kukilərin ələ keçirilməsinə və administrator qaralama məzmunu görüntülədikdə inzibati idarəetməyə imtiyazların yüksəldilməsinə şərait yaradır. Bu problem 4.29.0 versiyasında düzəldilmişdir.