CVE-2026-39857

ApostropheCMS açıq mənbəli Node.js kontent idarəetmə sistemidir. 4.28.0 və daha əvvəlki versiyalarda REST API-nin choices və counts sorğu parametrlərində autentifikasiyadan yan keçmə zəifliyi mövcuddur; burada həmin sorğu qurucuları (query builders), hansı sahələrin ictimai şəkildə göstəriləcəyini məhdudlaşdırmaq üçün nəzərdə tutulmuş publicApiProjection məhdudiyyətlərini yan keçən MongoDB distinct() əməliyyatlarını icra edir. Choices və counts parametrləri proyeksiya tətbiq edilməzdən əvvəl applyBuildersSafely vasitəsilə emal edilir və MongoDB-nin distinct əməliyyatı proyeksiyaları nəzərə almır, bütün fərqli dəyərləri birbaşa qaytarır. Nəticələr publicApiProjection və ya removeForbiddenFields filtrləməsi olmadan API cavabında qaytarılır. Autentifikasiya olunmamış hücumçu, string, integer, float, select, boolean, date, slug və relationship sahələri daxil olmaqla, qeydiyyatdan keçmiş sorğu qurucusu olan hər hansı sxem sahəsi tipi üçün bütün fərqli sahə dəyərlərini çıxara bilər. viewPermission ilə qorunan sahələr də eyni şəkildə ifşa olunur və counts variantı əlavə olaraq hər bir fərqli dəyərin neçə sənəddə olduğunu üzə çıxarır. Həm piece-type, həm də page REST API-ləri bu problemdən təsirlənib. Bu problem 4.29.0 versiyasında düzəldilmişdir.